Articolul 35. Evaluarea impactului asupra protecției datelor cu caracter personal¶
Având în vedere natura, domeniul de aplicare, contextul și scopurile prelucrării, în cazul în care un tip de prelucrare, în special cel bazat pe utilizarea noilor tehnologii, este susceptibil să genereze un risc ridicat pentru drepturile și libertățile persoanelor fizice, operatorul efectuează, înaintea prelucrării, o evaluare a impactului operațiunilor de prelucrare preconizate asupra protecției datelor cu caracter personal. O singură evaluare poate aborda un set de operațiuni de prelucrare similare care prezintă riscuri ridicate similare.
La realizarea unei evaluări a impactului asupra protecției datelor cu caracter personal, operatorul solicită avizul responsabilului cu protecția datelor, dacă acesta a fost desemnat.
Evaluarea impactului asupra protecției datelor cu caracter personal menționată la alin. (1) se impune în special în cazul:
- ¶ a) unei evaluări sistematice și cuprinzătoare a aspectelor personale referitoare la persoane fizice, care se bazează pe prelucrarea automată, inclusiv crearea de profiluri, și care stă la baza unor decizii care produc efecte juridice privind persoana fizică sau care o afectează în mod similar într-o măsură semnificativă;
- ¶ b) prelucrării pe scară largă a unor categorii speciale de date prevăzute la art. 9 alin. (1) sau a unor date cu caracter personal privind condamnări penale și infracțiuni, prevăzute la art. 10; sau
- ¶ c) unei monitorizări sistematice pe scară largă a unei zone accesibile publicului.
Centrul aprobă lista tipurilor de operațiuni de prelucrare care fac obiectul cerinței de efectuare a unei evaluări a impactului asupra protecției datelor cu caracter personal în conformitate cu alin. (1).
Centrul poate aproba o listă a tipurilor de operațiuni de prelucrare pentru care nu este necesară o evaluare a impactului asupra protecției datelor cu caracter personal.
Listele aprobate în temeiul alin. (4) și (5) sunt publicate în Monitorul Oficial al Republicii Moldova și pe pagina web oficială a Centrului.
Evaluarea conține cel puțin:
- ¶ a) o descriere sistematică a operațiunilor de prelucrare preconizate și a scopurilor prelucrării, inclusiv, după caz, interesul legitim urmărit de operator;
- ¶ b) o evaluare a necesității și proporționalității operațiunilor de prelucrare în legătură cu aceste scopuri;
- ¶ c) o evaluare a riscurilor pentru drepturile și libertățile persoanelor vizate menționate la alin. (1); și
- ¶ d) măsurile preconizate în vederea abordării riscurilor, inclusiv garanțiile, măsurile de securitate și mecanismele menite să asigure protecția datelor cu caracter personal și să demonstreze conformitatea cu dispozițiile prezentei legi, luând în considerare drepturile și interesele legitime ale persoanelor vizate și ale altor persoane interesate.
La evaluarea impactului operațiunilor de prelucrare efectuate de operator sau de persoanele împuternicite de operator, în special în vederea unei evaluări a impactului asupra protecției datelor cu caracter personal, se ia în considerare în mod corespunzător respectarea de către operator sau de către persoanele împuternicite de operator a codurilor de conduită, dacă au fost aprobate în conformitate cu art. 40.
Operatorul solicită, atunci când este cazul, opiniile persoanelor vizate sau ale reprezentanților acestora privind prelucrarea preconizată, fără a aduce atingere protecției intereselor comerciale sau publice ori securității operațiunilor de prelucrare.
În cazul prelucrării în temeiul art.6 alin.(1) lit.c) sau e), prevederile de la alin. (1)–(7) din prezentul articol nu se aplică dacă deja s-a efectuat o evaluare a impactului asupra protecției datelor ca parte a unei evaluări generale a impactului în contextul adoptării actelor normative care prevăd temeiurile juridice de prelucrare, cu excepția cazului în care actele normative prevăd că este necesară efectuarea evaluării impactului asupra protecției datelor cu caracter personal înaintea desfășurării activităților de prelucrare.
Dacă este necesar, operatorul efectuează o analiză pentru a evalua dacă prelucrarea are loc în conformitate cu evaluarea impactului asupra protecției datelor cu caracter personal, cel puțin atunci când are loc o modificare a riscului reprezentat de operațiunile de prelucrare.