Articolul 28. Persoana împuternicită de operator¶

În cazul în care prelucrarea urmează să fie realizată în numele unui operator, acesta recurge doar la persoane împuternicite care oferă garanții suficiente pentru punerea în aplicare a unor măsuri tehnice și organizatorice adecvate, astfel încât prelucrarea să respecte cerințele prevăzute de prezenta lege și să asigure protecția drepturilor persoanei vizate.

Persoana împuternicită de operator nu recrutează o altă persoană împuternicită de operator fără a primi în prealabil o autorizație scrisă, specifică sau generală, din partea operatorului. În cazul unei autorizații generale scrise, persoana împuternicită de operator informează operatorul cu privire la orice modificări preconizate privind adăugarea sau înlocuirea altor persoane împuternicite de operator, oferind astfel operatorului posibilitatea de a formula obiecții față de aceste modificări.

Prelucrarea de către o persoană împuternicită de un operator este reglementată printr-un contract sau alt act juridic în temeiul legislației Republicii Moldova care are caracter obligatoriu pentru persoana împuternicită de operator în raport cu operatorul și care stabilește obiectul, durata, natura și scopul prelucrării, tipul de date cu caracter personal și categoriile de persoane vizate, precum și obligațiile și drepturile operatorului. Respectivul contract sau act juridic prevede, în special, că persoana împuternicită de operator:

1. ¶ a) prelucrează datele cu caracter personal numai în baza unor instrucțiuni documentate ale operatorului, inclusiv în ceea ce privește transferurile de date cu caracter personal efectuate în condițiile cap. V, cu excepția cazului în care persoana împuternicită este obligată să prelucreze datele în temeiul actelor normative. În acest caz, persoana împuternicită informează operatorul despre această obligație legală înainte de prelucrare, cu excepția cazului în care actele normative interzic o astfel de informare din motive importante de interes public;
2. ¶ b) se asigură că persoanele autorizate să prelucreze datele cu caracter personal s-au angajat să respecte confidențialitatea sau au o obligație legală adecvată de confidențialitate;
3. ¶ c) adoptă toate măsurile necesare în conformitate cu art. 32;
4. ¶ d) respectă condițiile menționate la alin. (2) și (4) privind recrutarea unei alte persoane împuternicite de operator;
5. ¶ e) ținând cont de natura prelucrării, oferă asistență operatorului prin măsuri tehnice și organizatorice adecvate, în măsura în care acest lucru este posibil, pentru îndeplinirea obligației operatorului de a răspunde cererilor privind exercitarea de către persoana vizată a drepturilor prevăzute în capitolul III;
6. ¶ f) ajută operatorul să asigure respectarea obligațiilor prevăzute la art.32–36, ținând cont de caracterul prelucrării și informațiile aflate la dispoziția persoanei împuternicite de operator;
7. ¶ g) la alegerea operatorului, șterge sau returnează acestuia toate datele cu caracter personal după încetarea furnizării serviciilor legate de prelucrare și elimină copiile existente, cu excepția cazului în care actele normative impun stocarea datelor cu caracter personal;
8. ¶ h) pune la dispoziția operatorului toate informațiile necesare pentru a demonstra respectarea obligațiilor prevăzute în prezentul articol, permite desfășurarea auditurilor, inclusiv a inspecțiilor, efectuate de operator sau alt auditor mandatat și contribuie la acestea. Persoana împuternicită de operator informează imediat operatorul în cazul în care, în opinia sa, o instrucțiune încalcă legislația privind protecția datelor.

În cazul în care o persoană împuternicită de un operator recrutează o altă persoană împuternicită pentru efectuarea activităților de prelucrare specifice în numele operatorului, aceleași obligații privind protecția datelor prevăzute în contract sau în alt act juridic încheiat între operator și persoana împuternicită de operator, astfel cum se prevede la alin. (3), revin celei de a doua persoane împuternicite, prin intermediul unui contract sau al unui alt act juridic în temeiul legislației Republicii Moldova, în special furnizarea de garanții suficiente pentru punerea în aplicare a unor măsuri tehnice și organizatorice adecvate, astfel încât prelucrarea să îndeplinească cerințele prezentei legi. În cazul în care această a doua persoană împuternicită nu își respectă obligațiile privind protecția datelor, persoana împuternicită inițial rămâne pe deplin răspunzătoare față de operator în ceea ce privește îndeplinirea obligațiilor acestei a doua persoane împuternicite.

Aderarea persoanei împuternicite de operator la un cod de conduită aprobat în conformitate cu art. 40 sau la un mecanism de certificare aprobat în conformitate cu art. 42 poate fi utilizată ca un element prin care să se demonstreze existența garanțiilor suficiente menționate la alin. (1) și (4) din prezentul articol.

Fără a aduce atingere unui contract individual încheiat între operator și persoana împuternicită de operator, contractul sau alt act juridic menționat la alin. (3) și (4) se poate baza, integral sau parțial, pe clauze contractuale standard menționate la alin. (7), inclusiv atunci când fac parte dintr-o certificare acordată operatorului sau persoanei împuternicite de operator în temeiul art.42 și 43.

Centrul aprobă clauzele contractuale standard pentru aspectele menționate la alin. (3) și (4).

Contractul sau alt act juridic menționat la alin. (3) și (4) se întocmește în scris, inclusiv în format electronic.

Fără a aduce atingere prevederilor art.76 și 86–88, în cazul în care o persoană împuternicită de operator încălcă prezenta lege prin stabilirea scopurilor și mijloacelor de prelucrare a datelor cu caracter personal, persoana împuternicită este considerată operator în ceea ce privește prelucrarea respectivă.