În România libera circulație a informației și protejarea datelor cu caracter personal sunt reglementate prin legea 677/2001.
Această lege are ca scop garantarea şi protejarea drepturilor şi libertăţilor fundamentale ale persoanelor fizice, în special a dreptului la viaţa intimă, familială şi privată, cu privire la prelucrarea datelor cu caracter personal .
Legea 677 se aplică prelucrărilor de date cu caracter personal, efectuate, în tot sau în parte, prin mijloace automate, precum şi prelucrării prin alte mijloace decât cele automate a datelor cu caracter personal care fac parte dintr-un sistem de evidenţă sau care sunt destinate să fie incluse într-un asemenea sistem.
Prevederile legale respectă în totalitea reglementările propuse de Directiva 95/46/EC prezentată anterior.
Supravegherea și controlul prelucrării datelor cu caractere personal este realizată prin Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal. Aceasta fiind instituită prin legea 102/2005, inlocuind Avocatul Poporului.
Autoritatea de supraveghere îşi desfăşoară activitatea în condiţii de completă independenţă şi imparţialitate. Aceasta monitorizează şi controlează sub aspectul legalităţii prelucrările de date cu caracter personal care cad sub incidenţa prezentei legi.
În acest scop autoritatea de supraveghere exercită următoarele atribuţii:
– elaborează formularele tipizate ale notificărilor şi ale registrelor proprii;p
– rimeşte şi analizează notificările privind prelucrarea datelor cu caracter personal, anunţând operatorului rezultatele controlului prealabil;
– autorizează prelucrările de date în situaţiile prevăzute de lege;
– poate dispune, în cazul în care constată încălcarea dispoziţiilor prezentei legi, suspendarea provizorie sau încetarea prelucrării datelor, ştergerea parţială ori integrală a datelor prelucrate şi poate să sesiseze organele de urmărire penală sau să intenteze acţiuni în justiţie;
– informează persoanele fizice sau/şi juridice care activează în aceste domenii, în mod direct sau prin intermediul structurilor asociative ale acestora, asupra necesităţii respectării obligaţiilor şi îndeplinirii procedurilor prevăzute de prezenta lege;
– păstrează şi pune la dispoziţie publicului registrul de evidenţă a prelucrărilor de date cu caracter personal;
– primeşte şi soluţionează plângeri, sesizări sau cereri de la persoanele fizice şi comunică soluţia dată ori, după caz, diligenţele depuse;
– efectuează investigaţii din oficiu sau la primirea unor plângeri ori sesizări;
– este consultată atunci când se elaborează proiecte de acte normative referitoare la protecţia drepturilor şi libertăţilor persoanelor, în privinţa prelucrării datelor cu caracter personal;
– poate face propuneri privind iniţierea unor proiecte de acte normative sau modificarea actelor normative în vigoare în domenii legate de prelucrarea datelor cu caracter personal;
– cooperează cu autorităţile publice şi cu organele administraţiei publice, centralizează şi analizează rapoartele anuale de activitate ale acestora privind protecţia persoanelor în privinţa prelucrării datelor cu caracter personal, formulează recomandări şi avize asupra oricărei chestiuni legate de protecţia drepturilor şi libertăţilor fundamentale în privinţa prelucrării datelor cu caracter personal, la cererea oricărei persoane, inclusiv a autorităţilor publice şi a organelor administraţiei publice; aceste recomandări şi avize trebuie să facă menţiune despre temeiurile pe care se sprijină şi se comunică în copie şi Ministerului Justiţiei; atunci când recomandarea sau avizul este cerut de lege, se publică în Monitorul Oficial al României, Partea I;
– cooperează cu autorităţile similare de peste hotare în vederea asistenţei mutuale, precum şi cu persoanele cu domiciliul sau cu sediul în străinătate, în scopul apărării drepturilor şi libertăţilor fundamentale ce pot fi afectate prin prelucrarea datelor cu caracter personal;
– îndeplineşte alte atribuţii prevăzute de lege.
– modul de organizare şi funcţionare a Autorităţii Naţionale de Supraveghere a Prelucrării Datelor cu Caracter Personal se stabileşte prin lege .
Întregul personal al autorităţii de supraveghere are obligaţia de a păstra secretul profesional, cu excepţiile prevăzute de lege, pe termen nelimitat, asupra informaţiilor confidenţiale sau clasificate la care are sau a avut acces în exercitarea atribuţiilor de serviciu, inclusiv după încetarea raporturilor juridice cu autoritatea de supraveghere.
Operatorul este obligat să notifice autorităţii de supraveghere, personal sau prin reprezentant, înainte de efectuarea oricărei prelucrări ori a oricărui ansamblu de prelucrări având acelaşi scop sau scopuri corelate.
Notificarea nu este necesară în cazul în care prelucrarea are ca unic scop ţinerea unui registru destinat prin lege informării publicului şi deschis spre consultare publicului în general sau oricărei persoane care probează un interes legitim, cu condiţia ca prelucrarea să se limiteze la datele strict necesare ţinerii registrului menţionat.
Autoritatea de supraveghere va stabili categoriile de operaţiuni de prelucrare care sunt susceptibile de a prezenta riscuri speciale pentru drepturile şi libertăţile persoanelor. Dacă pe baza notificării autoritatea de supraveghere constată că prelucrarea se încadrează în una dintre categoriile menţionate la art. 23 alin. (1) din legea 677/2001, va dispune obligatoriu efectuarea unui control prealabil începerii prelucrării respective, cu anunţarea operatorului.
Operatorii care nu au fost anunţaţi în termen de 5 zile de la data notificării despre efectuarea unui control prealabil pot începe prelucrarea.
În situaţia prevăzută la art. 23 alin. (2) autoritatea de supraveghere este obligată ca, în termen de cel mult 30 de zile de la data notificării, să aducă la cunoştinţă operatorului rezultatul controlului efectuat, precum şi decizia emisă în urma acestuia.
În vederea apărării drepturilor prevăzute de prezenta lege persoanele ale căror date cu caracter personal fac obiectul unei prelucrări care cade sub incidenţa prezentei legi pot înainta plângere către autoritatea de supraveghere. Plângerea se poate face direct sau prin reprezentant. Persoana lezată poate împuternici o asociaţie sau o fundaţie să îi reprezinte interesele. Plângerea către autoritatea de supraveghere nu poate fi înaintată dacă o cerere în justiţie, având acelaşi obiect şi aceleaşi părţi, a fost introdusă anterior. În afara cazurilor în care o întârziere ar cauza un prejudiciu iminent şi ireparabil, plângerea către autoritatea de supraveghere nu poate fi înaintată mai devreme de 15 zile de la înaintarea unei plângeri cu acelaşi conţinut către operator.
În vederea soluţionării plângerii, dacă apreciază că este necesar, autoritatea de supraveghere poate audia persoana vizată, operatorul şi, dacă este cazul, persoana împuternicită sau asociaţia ori fundaţia care reprezintă interesele persoanei vizate. Aceste persoane au dreptul de a înainta cereri, documente şi memorii. Autoritatea de supraveghere poate dispune efectuarea de expertize .
Dacă plângerea este găsită întemeiată, autoritatea de supraveghere poate decide oricare dintre măsurile prevăzute la art. 21 alin. (3) lit. d). Interdicţia temporară a prelucrării poate fi instituită numai până la încetarea motivelor care au determinat luarea acestei măsuri.
Decizia trebuie motivată şi se comunică părţilor interesate în termen de 30 de zile de la data primirii plângerii.
Autoritatea de supraveghere poate ordona, dacă apreciază necesar, suspendarea unora sau tuturor operaţiunilor de prelucrare până la soluţionarea plângerii în condiţiile art. 25 alin. (5).
Autoritatea de supraveghere se poate adresa justiţiei pentru apărarea oricăror drepturi garantate de prezenta lege persoanelor vizate. Instanţa competentă este Tribunalul Municipiului Bucureşti. Cererea de chemare în judecată este scutită de taxa de timbru.
La cererea persoanelor vizate, pentru motive întemeiate, instanţa poate dispune suspendarea prelucrării până la soluţionarea plângerii de către autoritatea de supraveghere.
Autoritatea de supraveghere poate investiga, din oficiu sau la primirea unei plângeri, orice încălcare a drepturilor persoanelor vizate, respectiv a obligaţiilor care revin operatorilor şi, după caz, persoanelor împuternicite, în cadrul efectuării prelucrărilor de date cu caracter personal, în scopul apărării drepturilor şi libertăţilor fundamentale ale persoanelor vizate. Atribuţiile de investigare nu pot fi exercitate de către autoritatea de supraveghere în cazul în care o cerere în justiţie introdusă anterior are ca obiect săvârşirea aceleiaşi încălcări a drepturilor şi opune aceleaşi părţi. În exercitarea atribuţiilor de investigare autoritatea de supraveghere poate solicita operatorului orice informaţii legate de prelucrarea datelor cu caracter personal şi poate verifica orice document sau înregistrare referitoare la prelucrarea de date cu caracter personal.
Secretul de stat şi secretul profesional nu pot fi invocate pentru a împiedica exercitarea atribuţiilor acordate prin prezenta lege autorităţii de supraveghere. Atunci când este invocată protecţia secretului de stat sau a secretului profesional, autoritatea de supraveghere are obligaţia de a păstra secretul.