Regulamentul privind normele de organizare internă ale Consiliului de mediere pentru protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal în conformitate cu legislația și reglementările în domeniul medierii

În M. Of. nr. 650 din 26 iulie 2018, s-a publicat Regulamentul privind normele de organizare internă ale Consiliului de mediere pentru protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal în conformitate cu legislația și reglementările în domeniul medierii, din 29 iunie 2018.

Astfel, prin Hotărârea Consiliului de mediare nr. 119/2018 privind modificarea anexei nr. 10 la Regulamentul de organizare și funcționare a Consiliului de mediere, aprobat prin Hotărârea Consiliului de mediere nr. 5/2007, se prevede faptul că anexa nr. 10 la Regulamentul de organizare și funcționare a Consiliului de mediere, aprobat prin Hotărârea Consiliului de mediere nr. 5/2007 (M. Of. nr. 505 din 27 iulie 2007, cu modif. ult.), se modifică și se înlocuiește cu anexa care face parte integrantă din această hotărâre.

Anexa nr. 10 conține Regulamentul privind normele de organizare internă ale Consiliului de mediere pentru protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal în conformitate cu legislația și reglementările în domeniul medierii.

Redăm în continuare conținutul acestui regulament.

Cap. I („Dispoziții generale”)

Art. 1 prevede că Regulamentul privind normele de organizare internă ale Consiliului de mediere pentru protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal în conformitate cu legislația și reglementările în domeniul medierii, denumit în continuare Regulament, stabilește normele de organizare a activității Consiliului de mediere (CM) pentru garantarea și protejarea drepturilor și libertăților fundamentale ale persoanelor fizice și juridice, în special a dreptului la viață intimă, familială și privată, cu privire la prelucrarea datelor cu caracter personal în conformitate cu Constituția României și Regulamentul (UE) nr. 679 din 27 aprilie 2016 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date.

Adoptarea acestui regulament este impusă de calitatea de „operator”, acordată Consiliului de mediere de către Autoritatea Națională de Supraveghere și Protecție a Datelor cu Caracter Personal (ANSPDCP) prin Notificarea nr. 10.723. Regulamentul (UE) 2016/679 a fost publicat în Jurnalul Oficial al Uniunii, seria L119, din 4 mai 2016, iar prevederile lui sunt direct aplicabile în toate statele membre ale Uniunii Europene, începând cu data de 25 mai 2018. Regulamentul (UE) 2016/679 impune un set unic de reguli în materia protecției datelor cu caracter personal, înlocuind Directiva 95/46/CE și, implicit, prevederile Legii nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date.

Regulamentul European nr. 679 din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date (Regulamentul general privind protecția datelor – RGPD) consolidează drepturile garantate persoanelor vizate și introduce noi drepturi: dreptul de a fi uitat, dreptul la portabilitatea datelor și dreptul la restricționarea prelucrării.

Art. 2 dispune că Regulile instituite prin regulament se aplică tuturor membrilor CM, indiferent de poziția ocupată și de atribuțiile pe care le îndeplinesc, precum și mediatorilor autorizați sau altor persoane, care sunt desemnate să facă parte din comisii sau grupuri de lucru, înființate de Consiliul de mediere prin hotărâri ale acestuia și care, prin natura activității, au acces la date cu caracter personal.

Art. 3 stabilește că mediatorii autorizați, membrii CM, membrii comisiilor sau grupurilor de lucru înființate de CM, precum și angajații instituției sunt informați prin regulament despre regulile aplicabile începând cu 25 mai 2018 și sunt obligați să cunoască și să respecte dispozițiile regulamentului.

Cap. II („Reguli generale privind prelucrarea datelor cu caracter personal”)

Conform art. 4, atribuțiile CM, care implică prelucrarea datelor cu caracter personal, sunt următoarele:

1. CM, organism autonom, de interes public, desemnează un responsabil cu protecția datelor, sarcină obligatorie din 25 mai 2018, raportat la dispozițiile art. 37-39 din Regulamentul general privind protecția datelor, în vederea înțelegerii și respectării obligațiilor prevăzute de RGPD, dialogului cu autoritățile pentru protecția datelor și reducerii riscurilor apariției unor litigii.

1.1. Rolul responsabilului cu protecția datelor:

a) să informeze și să consilieze operatorul sau persoana împuternicită de operator, precum și angajații acestora cu privire la obligațiile existente în domeniul protecției datelor cu caracter personal;

b) să monitorizeze respectarea RGPD și a legislației naționale în domeniul protecției datelor;

c) să consilieze operatorul sau persoana împuternicită în legătură cu realizarea de studii de impact privind protecția datelor și să verifice efectuarea acestora;

d) să coopereze cu autoritatea pentru protecția datelor și să reprezinte punctul de contact în relația cu aceasta.

2. Prelucrarea datelor cu caracter personal este necesară, în conformitate cu Legea nr. 192/2006 privind medierea și organizarea profesiei de mediator, cu modificările și completările ulterioare, pentru îndeplinirea atribuțiilor Consiliului de mediere ca organism de interes public, respectiv:

a) formarea mediatorilor;

b) autorizarea și avizarea mediatorilor și a formelor de exercitare a profesiei;

c) asigurarea respectării legislației în materia medierii și, în special, a codului de etică și deontologie profesională a mediatorilor de către membrii corpului profesional;

d) autorizarea furnizorilor de formare, formatorilor și evaluatorilor/examinatorilor în domeniul medierii și supravegherea calității formării;

e) asigurarea calității serviciului de medieri;

f) publicarea Tabloului mediatorilor în Monitorul Oficial al României, Partea I, și pe site-ul propriu, a listei furnizorilor de formare, a formatorilor, a examinatorilor/evaluatorilor;

g) asigurarea transparenței decizionale, participării la activitatea desfășurată de CM, publicității ședințelor CM, cu excepțiile prevăzute de hotărârile CM;

h) orice alte atribuții care revin CM în baza legii pentru organizarea profesiei și a serviciului de mediere în România.

Art. 5 dispune că accesul la datele cu caracter personal ale mediatorilor este necesar pentru îndeplinirea unei sarcini care servește unui interes public. Accesul membrilor CM, al angajaților CM și al terților colaboratori se face în condițiile regulamentului, condiții care vor fi comunicate public pentru ca orice solicitant să fie informat asupra drepturilor pe care le are în privința accesului la datele cu caracter personal prelucrate de CM.

Informarea este asigurată de CM:

a) prin afișare pe site-ul CM;

b) prin afișare la sediul Consiliului de mediere (registratura);

c) prin serviciul sau angajatul responsabil pentru exercitarea drepturilor prevăzute de Regulamentul (UE) nr. 679/2016.

Conform art. 6, categoriile de date prelucrate de Consiliul de mediere sunt:

1. Date de identificare:

a) numele și prenumele;

b) sexul;

c) data și locul nașterii;

d) cetățenia;

e) semnătura;

f) date din acte de stare civilă;

g) număr de telefon;

h) adresa personală;

i) adresa de e-mail;

j) profesia;

k) locul de muncă;

l) formarea profesională;

m) apartenența la asociații profesionale;

n) orice alte date necesare îndeplinirii atribuțiilor legale ale CM.

2. Date cu caracter special, respectiv:

a) codul numeric personal;

b) seria și numărul actului de identitate;

c) date privind starea de sănătate;

d) date privind eventuale sancțiuni disciplinare;

e) date privind cazierul judiciar;

f) date statistice despre activitatea desfășurată în mediere;

g) alte date cu caracter personal stabilite de CM prin hotărâri date în aplicarea legislației în domeniu.

Art. 7 stabilește faptul că datele cu caracter personal vor fi colectate de Consiliul de mediere în exercitarea atribuțiilor legale:

a) de la persoanele vizate;

b) de la reprezentanți legali, împuterniciți ai persoanelor vizate;

c) de la alte persoane care își exercită drepturile, respectiv își îndeplinesc obligațiile în conformitate cu dispozițiile legale în materia medierii.

Art. 8 prevede că următoarele categorii de persoane sunt îndrituite să prelucreze date cu caracter personal, colectate de Consiliul de mediere:

a) angajații CM;

b) membrii CM;

c) membrii Comisiei de disciplină;

d) membrii comisiilor de specialitate, înființate de CM prin hotărâri;

e) terți colaboratori sub clauză specială de confidențialitate a datelor cu caracter personal, înscrisă în contracte sau protocoale.

Mai mult, art. 9 dispune că următoarele categorii de persoane pot fi destinatari legali ai datelor cu caracter personal prelucrate de Consiliul de mediere:

a) persoana vizată;

b) reprezentanți legali ai persoanei vizate;

c) autoritățile judecătorești;

d) autoritățile publice;

e) poliția;

f) terți care sunt persoane interesate în a obține date cu caracter personal prelucrate de CM și care justifică un interes legitim în a avea acces la acest tip de informații.

Art. 10 prevede că datele cu caracter personal sunt prevăzute la art. 6.

Confidențialitatea acestor date este asigurată de Consiliul de mediere, cu următoarele excepții:

a) date personale, care este necesar să devină publice pentru îndeplinirea atribuțiilor CM conform Legii nr. 192/2006, cu modificările și completările ulterioare, Regulamentului de organizare și funcționare și hotărârilor CM;

b) date personale pentru care persoana în cauză își dă consimțământul de a se face publice;

c) date personale necesar a fi făcute publice în situația unei suspiciuni de fraudare a legii. Aceste situații sunt apreciate de Consiliul de mediere, hotărârea CM menționând motivația necesității de a se face excepție de la regula confidențialității pentru fiecare situație particulară;

d) date personale de notorietate a căror publicitate este asigurată chiar de persoana titulară a acestora (deținătorul de drept) sau de un terț, cu consimțământul persoanei titulare. În acest caz, CM nu are nevoie de consimțământul persoanei. Notorietatea este apreciată de CM, ca organism de decizie, format din 9 membri conform legii.

Încălcarea prevederilor cu caracter confidențial se sancționează disciplinar, administrativ, material sau penal, după caz, conform dispozițiilor legale în vigoare.

Prelucrarea datelor cu caracter personal, în alte scopuri decât scopurile pentru care datele cu caracter personal au fost inițial colectate, este permisă doar atunci când prelucrarea este compatibilă cu scopurile respective pentru care datele cu caracter personal au fost inițial colectate. O astfel de prelucrare include transferul de date cu caracter personal în spațiul comunitar prin sistemul IMI.

Potrivit art. 11, Consiliul de mediere va arhiva datele cu caracter personal prelucrate pe o perioadă de 3 ani, după care acestea sunt distruse. Termenul de 3 ani curge de la momentul încetării activității de mediere a persoanei vizate sau de la încetarea colaborării cu Consiliul de mediere. Operațiunea de colectare este prima operațiune de prelucrare a datelor cu caracter personal conform Regulamentului (UE) 2016/679.

Art. 12 stabilește că transferul datelor cu caracter personal în străinătate se va efectua de CM în conformitate cu legile interne și legislația comunitară aplicabilă statelor membre.

Cap. III („Reguli generale privind prelucrarea datelor cu caracter personal”)

Art. 13 prevede că prelucrarea datelor cu caracter personal presupune colectarea, înregistrarea, organizarea, stocarea, adaptarea ori modificarea, extragerea, consultarea, utilizarea, dezvăluirea către terți prin transmitere, diseminare sau în orice alt mod, alăturarea ori combinarea, blocarea, ștergerea sau distrugerea acestora.

Prelucrarea datelor cu caracter personal se face prin mijloace neautomate sau automate.

Prelucrarea neautomată presupune:

a) înregistrarea documentelor în registrul „intrări”;

b) constituirea unei mape a persoanei, care are trecute pe copertă documentele conținute;

c) analiza de către Secretariatul tehnic a conformității documentelor prezentate cu cerințele legale, cererea de completare;

d) supunerea documentelor analizei comisiei permanente;

e) emiterea deciziei și arhivarea documentelor în condiții optime de siguranță;

f) numerotarea și stocarea documentelor în dulapuri metalice închise cu cheie, stocarea făcându-se pe litere, în sistem alfabetic, care să permită identificarea rapidă a unei persoane în vederea actualizării datelor sau, după caz, de acces individual la datele personale;

g) analizarea documentelor sau a unor situații în care CM se autosesizează în cadrul ședințelor ordinare și menționarea acestora în procesele-verbale, redactate, numerotate și înregistrate;

h) returnarea documentelor persoanelor care încetează raporturile cu CM sau, după caz, arhivarea pentru o perioadă de 3 ani, fiind apoi distruse;

i) transmiterea datelor prevăzute de lege către terți;

j) hotărâri ale consiliului sau ale comisiilor, înființate de acesta, cu privire la persoane.

Prelucrarea automată a datelor presupune:

a) existența unui soft care să permită introducerea datelor pentru formarea bazei de date sau actualizarea acesteia de către cei interesați, prin internet;

b) extragerea datelor statistice necesare;

c) restricționarea accesului, prin parolare, la datele privind persoana;

d) accesul fiecărei persoane la propriile date, cu posibilitatea de a le corecta și actualiza;

e) pentru evitarea dublei înregistrări este necesară prelucrarea codului numeric personal sau a altor date cu caracter personal, având o funcție de identificare de aplicabilitate generală.

Art. 14 stabilește: Consiliul de mediere, la solicitarea persoanei vizate, are obligația să rectifice, fără întârzieri nejustificate, datele cu caracter personal inexacte care o privesc. Ținându-se seama de scopurile în care au fost prelucrate datele, Consiliul de mediere, în baza unei declarații suplimentare din partea solicitantului, trebuie să asigure completarea datelor cu caracter personal care sunt incomplete.

Persoana vizată are dreptul de a obține din partea Consiliului de mediere ștergerea datelor cu caracter personal care o privesc („dreptul de a fi uitat”), fără întârzieri nejustificate, iar consiliul are obligația de a șterge datele cu caracter personal fără întârzieri nejustificate, în cazul în care se aplică unul dintre următoarele motive:

a) datele cu caracter personal nu mai sunt necesare pentru îndeplinirea scopurilor pentru care au fost colectate sau prelucrate;

b) persoana vizată își retrage consimțământul pe baza căruia are loc prelucrarea, în conformitate cu art. 6 alin. (1) lit. a) sau cu art. 9 alin. (2) lit. a) din Regulamentul (UE) nr. 679/2016, și nu există niciun alt temei juridic pentru prelucrare;

c) persoana vizată se opune prelucrării în temeiul art. 21 alin. (1) din Regulamentul (UE) nr. 679/2016 și nu există motive legitime care să prevaleze în ceea ce privește prelucrarea sau persoana vizată se opune prelucrării în temeiul art. 21 alin. (2) din același regulament;

d) datele cu caracter personal au fost prelucrate ilegal.

Cap. III („Descrierea generală a măsurilor luate pentru asigurarea securității prelucrării”)

Art. 15 dispune că procedura de prelucrare a datelor cu caracter personal de către persoanele care au acces la date cu caracter personal se face conform regulamentelor adoptate de CM și, dacă este cazul, ordinelor interne ale președintelui CM emise în aplicarea acestora.

Toate persoanele care au acces la date cu caracter personal, prelucrate de CM, vor semna un angajament de confidențialitate. Excepție fac situațiile în care se solicită acces la propriile date cu caracter personal.

Potrivit art. 16, în cazul accesului la date cu caracter personal arhivate de CM, persoana îndrituită va solicita în scris accesul în arhiva CM, care va fi asigurat după următoarea procedură de lucru a CM:

a) solicitarea este adresată CM și înscrisă de Secretariatul CM în registrul de intrări al CM;

b) solicitarea este înaintată de Secretariatul CM președintelui, respectiv vicepreședintelui CM. Acesta va formula o rezoluție pe cerere și o va înainta persoanei cu atribuție de serviciu, conform fișei de post, responsabilă cu arhivarea sau cu protecția datelor cu caracter personal, după caz, pentru formularea unui răspuns către solicitant;

c) registratura va comunica solicitantului răspunsul CM, invitându-l să se prezinte la sediul din București în vederea consultării documentelor solicitate și arhivate la CM;

d) arhivarul va înregistra într-un registru special numărul și data solicitării, persoana care solicită accesul, datele personale la care se solicită accesul, data la care a prezentat solicitantului documentele solicitate. Solicitantul va semna în Registrul special pentru primirea documentelor solicitate;

e) documentele originale din arhiva CM vor fi consultate de solicitant în prezența arhivarului, care răspunde de integritatea arhivei.

Art. 17 dispune că prelucrarea automată a datelor personale se efectuează de personalul cu atribuții conform fișei de post, prin accesarea fișierelor, utilizând parola individuală.

Schimbarea parolei la intervale de timp determinate se face prin grija președintelui CM.

Blocarea accesului după introducerea greșită a parolei este o măsură de siguranță care asigură securitatea și protecția datelor cu caracter personal în cazul accesului neautorizat.

Art. 18 reglementează faptul că regulamentul intră în vigoare la data publicării în Monitorul Oficial al României, Partea I, și se publică pe site-ul oficial al CM, www.cmediere.ro.

Persoana desemnată de operatorul Consiliul de mediere ca responsabil cu protecția datelor cu caracter personal (DPO) este nominalizată prin decizia președintelui CM, cu atribuții prevăzute în fișa de post în acest sens. DPO va fi afișat pe site-ul CM, cu următoarele date de contact:

a) site: www.cmediere.ro;

b) adresă de e-mail: secretariat@cmediere.ro;

c) telefon: 021-315 25 28;

d) fax: 021-330 25 28.

Soluționarea plângerilor și cererilor, adresate de persoanele vizate în exercitarea drepturilor lor, se face de către Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) la următoarele date de contact: Bd. g-ral Gheorghe Magheru 28-30, sectorul 1, București, cod poștal 010336, telefon: +40.318.059.211, e-mail: anspdcp@dataprotection.ro.