Legea nr. 238/2009

Prezenta lege reglementează prelucrarea automată și neautomată a datelor cu caracter personal pentru realizarea activităților de prevenire, cercetare și combatere a infracțiunilor, precum și de menținere și asigurare a ordinii publice de către structurile/unitățile Ministerului Administrației și Internelor, potrivit competențelor acestora.

Structurile/unitățile Ministerului Administrației și Internelor, denumite în continuare structurile/unitățile M.A.I., care desfășoară, potrivit competențelor, activitățile prevăzute la alin. (1), în calitate de operatori, dobândite în condițiile

Legii nr. 677/2001

pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date, cu modificările și completările ulterioare, prelucrează date cu caracter personal în exercitarea atribuțiilor legale.

Pentru realizarea activităților prevăzute la art. 1 alin. (1), structurile/unitățile M.A.I. constituie, organizează și dețin, potrivit atribuțiilor legale, sisteme de evidență și utilizează mijloace automate și neautomate de prelucrare a datelor cu caracter personal, în condițiile legii.

Structurile/unitățile M.A.I. utilizează sisteme de evidență și/sau mijloace automate și neautomate de prelucrare a datelor cu caracter personal, cu respectarea drepturilor omului și aplicarea principiilor legalității, necesității, confidențialității, proporționalității și numai dacă, prin utilizarea acestora, este asigurată protecția datelor prelucrate.

Înaintea introducerii unui sistem de evidență sau a unui mijloc automat/neautomat de prelucrare a datelor cu caracter personal care este susceptibil să prezinte anumite riscuri privind datele prelucrate, structurile/unitățile M.A.I. consultă Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal, denumită în continuare Autoritatea națională de supraveghere, care, dacă este cazul, stabilește garanții adecvate, potrivit legii.

Prelucrările de date cu caracter personal sunt notificate Autorității naționale de supraveghere. Notificarea se efectuează anterior oricărei prelucrări, în condițiile legii.

Notificarea prelucrării automate sau neautomate a datelor cu caracter personal prin sisteme de evidență a datelor cu caracter personal, realizată potrivit legii de către structurile/unitățile M.A.I., cuprinde, pe lângă informațiile prevăzute la

art. 22 alin. (8) din Legea nr. 677/2001 , cu modificările și completările ulterioare, în mod corespunzător și informații referitoare la natura fiecărui sistem de evidență a datelor cu caracter personal care are legătură cu prelucrarea, precum și la destinatarii cărora le sunt comunicate datele.

Notificarea prelucrării datelor cu caracter personal prin sisteme de evidență constituite în anumite cazuri numai pentru perioada necesară realizării unor activități de prevenire, cercetare și combatere a infracțiunilor, precum și de menținere și asigurare a ordinii publice se face cu respectarea condițiilor prevăzute la alin. (2), numai dacă prelucrarea nu a făcut obiectul unei notificări anterioare.

Pentru realizarea activităților prevăzute la art. 1 alin. (1), structurile/unitățile M.A.I. colectează date cu caracter personal, cu sau fără consimțământul persoanei vizate, în condițiile legii.

Colectarea datelor cu caracter personal fără consimțământul persoanei vizate pentru realizarea activităților prevăzute la art. 1 alin. (1) se face numai dacă această măsură este necesară pentru prevenirea unui pericol iminent cel puțin asupra vieții, integrității corporale sau sănătății unei persoane ori a proprietății acesteia, precum și pentru combaterea unei anumite infracțiuni.

Colectarea datelor cu caracter personal pentru realizarea activităților prevăzute la art. 1 alin. (1) se efectuează de personalul structurilor/unităților M.A.I. numai în scopul îndeplinirii atribuțiilor de serviciu.

Colectarea datelor cu caracter personal în scopurile prevăzute la art. 1 alin. (1) trebuie să fie limitată la datele necesare pentru prevenirea unui pericol iminent cel puțin asupra vieții, integrității corporale sau sănătății unei persoane ori a proprietății acesteia, precum și pentru combaterea unei anumite infracțiuni.

Colectarea de date privind persoana fizică exclusiv datorită faptului că aceasta are o anumită origine rasială, anumite convingeri religioase ori politice, un anumit comportament sexual sau datorită apartenenței acesteia la anumite mișcări ori organizații care nu contravin legii este interzisă.

Prin excepție de la prevederile alin. (5), structurile/unitățile M.A.I. colectează și prelucrează, cu respectarea garanțiilor prevăzute de

Legea nr. 677/2001 , cu modificările și completările ulterioare, date exclusiv în baza acestor criterii numai dacă, într-un caz determinat, sunt necesare pentru efectuarea actelor premergătoare sau a urmăririi penale, ca urmare a săvârșirii unei infracțiuni. Prevederile art. 3 se aplică în mod corespunzător.

Prevederile alin. (6) nu aduc atingere dispozițiilor legale care reglementează obligația autorităților publice de a respecta și de a ocroti viața intimă, familială și privată.

Pentru realizarea scopurilor activităților prevăzute la art. 1 alin. (1), structurile/unitățile M.A.I. stochează numai acele date cu caracter personal care sunt exacte, complete și necesare îndeplinirii atribuțiilor legale sau obligațiilor rezultate din instrumente juridice internaționale la care România este parte.

Stocarea diferitelor categorii de date cu caracter personal se realizează prin ordonarea acestora în funcție de gradul lor de acuratețe și exactitate. Datele cu caracter personal bazate pe opinii și interpretări personale rezultate din activitățile prevăzute la art. 1 alin. (1) sunt ordonate în mod distinct.

Structurile/unitățile M.A.I. au obligația de a verifica periodic calitatea datelor prevăzute la alin. (2), conform regulilor stabilite potrivit art. 14 alin. (1) lit. b).

În situația în care datele cu caracter personal stocate se dovedesc a fi inexacte sau incomplete, structurile/unitățile M.A.I. care le dețin au obligația să le șteargă, distrugă, modifice, actualizeze sau, după caz, să le completeze.

Structurile/unitățile M.A.I. stochează datele cu caracter personal colectate în scopuri administrative separat de datele cu caracter personal colectate în scopurile prevăzute la art. 1 alin. (1).

Comunicarea datelor cu caracter personal între structurile/unitățile M.A.I. se face numai în cazul în care este necesară pentru exercitarea competențelor și îndeplinirea atribuțiilor legale ce le revin.

Comunicarea de date cu caracter personal către alte autorități sau instituții publice se poate efectua numai în următoarele situații:

a) în baza unei prevederi legale exprese ori cu autorizarea Autorității naționale de supraveghere;

b) când datele sunt indispensabile îndeplinirii atribuțiilor legale ale destinatarului și numai dacă scopul în care se face colectarea sau prelucrarea de către destinatar nu este incompatibil cu scopul pentru care datele au fost colectate de structurile/unitățile M.A.I., iar comunicarea datelor de structurile/unitățile M.A.I. se realizează în conformitate cu atribuțiile legale ale acestora.

Prin excepție de la prevederile alin. (2), comunicarea datelor cu caracter personal către alte autorități sau instituții publice este permisă în următoarele situații:

a) persoana vizată și-a exprimat consimțământul expres și neechivoc pentru comunicarea datelor sale;

b) comunicarea este necesară pentru a preveni un pericol grav și iminent cel puțin asupra vieții, integrității corporale sau sănătății unei persoane ori a proprietății acesteia.

Comunicarea datelor cu caracter personal către entități de drept privat care își desfășoară activitatea pe teritoriul României se efectuează numai dacă există o obligație legală expresă sau cu autorizarea Autorității naționale de supraveghere.

Prin excepție de la prevederile alin. (4), comunicarea datelor cu caracter personal către entități de drept privat care își desfășoară activitatea pe teritoriul României sau în afara acestuia este permisă dacă persoana vizată și-a dat consimțământul în mod expres și neechivoc pentru comunicarea datelor sale sau dacă este necesară pentru a preveni un pericol grav și iminent cel puțin asupra vieții, integrității corporale sau sănătății unei persoane ori a proprietății acesteia sau a unei alte persoane amenințate.

Cererile pentru comunicarea datelor cu caracter personal adresate structurilor/unităților M.A.I. de către alte structuri/unități ale M.A.I., alte autorități sau instituții publice, entități de drept privat care își desfășoară activitatea pe teritoriul României sau în afara acestuia și organisme de poliție ale altor state trebuie să conțină datele de identificare a solicitantului, precum și motivarea și scopul cererii, conform prevederilor legale interne sau celor cuprinse în acordurile internaționale la care România este parte. Cererile care nu conțin aceste date și nu sunt conforme prevederilor legale interne sau celor cuprinse în acordurile internaționale la care România este parte se resping.

Înainte de comunicare, structurile/unitățile M.A.I. verifică dacă datele solicitate sunt exacte, complete și actualizate. În cazul în care se constată că nu sunt corecte, complete sau actualizate, datele nu se comunică. În comunicări trebuie indicate, după caz, datele care rezultă din hotărâri ale instanțelor judecătorești ori din actele prin care s-a dispus neînceperea urmăririi penale, clasarea, scoaterea de sub urmărire penală, încetarea urmăririi penale sau trimiterea în judecată, precum și datele bazate pe opinii și interpretări personale rezultate din activitățile prevăzute la art. 1 alin. (1). Datele bazate pe opinii și interpretări personale rezultate din activitățile prevăzute la art. 1 alin. (1) trebuie verificate la sursă înainte de a fi comunicate, iar gradul de acuratețe și exactitate al acestor date trebuie întotdeauna menționat cu ocazia comunicării.

În situația în care au fost transmise date incorecte sau neactualizate, structurile/unitățile M.A.I. au obligația să îi informeze pe destinatarii respectivelor date asupra neconformității acestora, cu menționarea datelor care au fost modificate.

La comunicarea datelor cu caracter personal către alte autorități sau instituții publice, entități de drept privat care își desfășoară activitatea pe teritoriul României sau în afara acestuia, Organizația Internațională a Poliției Criminale - Interpol, Oficiul European de Poliție - Europol sau alte instituții internaționale similare ori către organisme de poliție ale altor state, structurile/unitățile M.A.I. atenționează destinatarii asupra interdicției de a prelucra datele comunicate în alte scopuri decât cele specificate în cererea de comunicare.

Prelucrarea datelor de către destinatari în alte scopuri decât cele care au format obiectul cererii se poate realiza numai cu acordul structurilor/unităților M.A.I. care le-au comunicat și numai cu respectarea prevederilor art. 6 alin. (2)-(5) și ale art. 7.

Pentru realizarea activităților de cercetare și combatere a infracțiunilor, structurile/unitățile M.A.I. pot interconecta sistemele de evidență a datelor cu caracter personal sau, după caz, mijloacele automate de prelucrare a datelor cu caracter personal pe care le dețin pentru scopuri diferite.

În scopul prevăzut la alin. (1), interconectarea se poate realiza și cu sistemele de evidență sau cu mijloacele automate de prelucrare a datelor cu caracter personal deținute de alți operatori.

Interconectările prevăzute la alin. (1) și (2) sunt permise numai în cazul efectuării actelor premergătoare, al urmăririi penale sau al judecării unei infracțiuni în baza unei autorizări emise de procurorul competent să efectueze sau să supravegheze, într-un caz determinat, efectuarea actelor premergătoare sau urmărirea penală ori, în cazul judecării unei infracțiuni, de judecătorul anume desemnat de la instanța căreia îi revine competența de a judeca fondul cauzei pentru care sunt prelucrate datele respective.

Accesul direct sau printr-un serviciu de comunicații electronice la un sistem de evidență a datelor cu caracter personal care face obiectul interconectării, potrivit alin. (1), este permis numai în condițiile legii și cu respectarea prevederilor art. 1 alin. (1) și ale art. 5-11.

Interconectarea sistemelor de evidență a datelor cu caracter personal sau a mijloacelor automate de prelucrare a datelor cu caracter personal nu se realizează în cazul activităților de prevenire a infracțiunilor, de menținere și de asigurare a ordinii publice.

Structurile/unitățile M.A.I. asigură condițiile de exercitare a drepturilor conferite de lege persoanei vizate, cu respectarea

Legii nr. 677/2001 , cu modificările și completările ulterioare, și a prezentei legi.

Prevederile referitoare la exercitarea drepturilor persoanei vizate, prevăzute de

Legea nr. 677/2001 , cu modificările și completările ulterioare, nu se aplică pe perioada în care o asemenea măsură este necesară pentru evitarea prejudicierii activităților specifice de prevenire, cercetare și combatere a infracțiunilor, precum și de menținere și asigurare a ordinii publice, ca urmare a cunoașterii de persoana vizată a faptului că datele sale cu caracter personal sunt prelucrate, sau este necesară pentru protejarea persoanei vizate ori a drepturilor și libertăților altor persoane, în cazul în care există date și informații că aceste drepturi și libertăți sunt puse în pericol.

În cazul aplicării excepțiilor de la exercitarea drepturilor persoanei vizate, prevăzute la alin. (2), acestea trebuie motivate în scris. Necomunicarea motivelor este posibilă numai în măsura în care este necesară bunei desfășurări a activităților prevăzute la art. 1 alin. (1) sau pentru protejarea drepturilor și libertăților altor persoane decât persoana vizată.

În toate situațiile, persoana vizată va fi informată cu privire la dreptul de a se adresa Autorității naționale de supraveghere sau, după caz, instanței de judecată, care va decide dacă măsurile luate de structurile/unitățile M.A.I., conform prevederilor alin. (2), sunt întemeiate.

În situația în care, în urma exercitării dreptului de acces sau a dreptului de intervenție, rezultă că datele cu caracter personal sunt inexacte, irelevante sau înregistrate în mod abuziv, acestea vor fi șterse sau rectificate prin anexarea unui document, încheiat în acest sens, la sistemul de evidență ale cărui date cu caracter personal au suferit modificări, deținut de structurile/unitățile M.A.I.

Măsurile prevăzute la alin. (5) se aplică tuturor documentelor care au legătură cu sistemul de evidență a datelor cu caracter personal. În cazul în care acestea nu sunt efectuate imediat, se va avea în vedere realizarea lor cel mai târziu la data prelucrării ulterioare a datelor cu caracter personal sau la o următoare comunicare a acestora.

Datele cu caracter personal stocate în îndeplinirea activităților prevăzute la art. 1 alin. (1) se șterg atunci când nu mai sunt necesare scopurilor pentru care au fost colectate.

Înainte de ștergerea datelor cu caracter personal, potrivit alin. (1), și dacă activitățile prevăzute la art. 1 alin. (1) nu mai pot fi prejudiciate prin cunoașterea faptului că datele cu caracter personal au fost colectate și stocate, persoana vizată trebuie informată atunci când colectarea și stocarea datelor s-au efectuat fără consimțământul său.

În condițiile prevăzute la alin. (2), informarea persoanei vizate se realizează de structurile/unitățile M.A.I. care au colectat și stocat datele cu caracter personal ale acesteia, în termen de 15 zile de la momentul în care activitățile prevăzute la art. 1 alin. (1) nu mai pot fi prejudiciate sau, după caz, de la momentul comunicării către aceste structuri/unități ale M.A.I. a unei soluții de neîncepere a urmăririi penale, clasare, scoatere de sub urmărire penală sau încetare a urmăririi penale.

Prin excepție de la prevederile alin. (1), datele cu caracter personal pot fi stocate și după îndeplinirea scopurilor pentru care au fost colectate, dacă este necesară păstrarea acestora. Evaluarea necesității stocării datelor după îndeplinirea scopurilor pentru care au fost colectate se realizează, în special, în următoarele situații:

a) datele sunt necesare în vederea terminării urmăririi penale într-un caz determinat;

b) nu există o hotărâre judecătorească definitivă;

c) nu a intervenit reabilitarea;

d) nu a intervenit prescripția executării pedepsei;

e) nu a intervenit amnistia;

f) datele fac parte din categorii speciale de date, potrivit

Legii nr. 677/2001 , cu modificările și completările ulterioare.

Structurile/unitățile M.A.I. care desfășoară activitățile prevăzute la art. 1 alin. (1) au obligația de a elabora reguli, dacă acestea nu sunt stabilite prin prevederi legale exprese, cu privire la:

a) termenele de stocare a datelor cu caracter personal pe care le prelucrează;

b) verificările periodice asupra datelor cu caracter personal pentru ca acestea să fie exacte, actuale și complete;

c) ștergerea datelor cu caracter personal.

În lipsa unor prevederi legale exprese care să stabilească regulile prevăzute la alin. (1), structurile/unitățile M.A.I. care desfășoară activitățile prevăzute la art. 1 alin. (1) au obligația ca, în termen de 30 de zile de la data intrării în vigoare a prezentei legi, să stabilească aceste reguli, cu avizul Autorității naționale de supraveghere acordat în condițiile legii.