HCL 87/2020 Rădăuți adoptată

ROMÂNIA JUDEŢUL SUCEAVA MUNICIPIULRĂDĂUȚŢI CONSILIUL LOCAL HOTĂRÂRE pentru aprobarea Regulamentului privind protecţia datelor cu caracter personal în cadrul UAT Rădăuţi Consiliul Local al Municipiului Rădăuți, judeţul Suceava; Având în vedere: — Referatul de aprobare al domnului primar al Municipiului Rădăuţi, Nistor Tătar, — înregistrat cu nr. 98700/04.05.2020; - Raportul compartimentului/serviciului de resort din cadrul aparatului de specialitate al primarului, înregistrat sub nr. 98700/04.05.2020; - Avizele Comisiilor de specialitate din cadrul Consiliului Local, înregistrate sub nr. 98737/ 25.05.2020, 98738/25.05.2020, 98739/25.05.2020, 98740/26.05.2020; — Referatul de necesitate nr. 34210/27.04.2020; - Regulamentul (UE) 679/2016 GDPR privind protecţia persoanelor fizice în ceea ce priveşte prelucrarea datelor cu caracter personal si privind libera circulație a acestor date; — Legea 190/2018 privind masuri de punere în aplicare a Regulamentului (UE) 679/2016 privind protecția persoanelor fizice în ceea ce priveşte prelucrarea datelor cu carâcter personal si privind libera circulaţie a acestor date. În temeiul dispoziţiilor art. 129 alin. (2) lit. a), 139 alin. (1) 196 alin. (1) lit. a) în OUG 57/2019 privind Codul Administrativ. HOTĂRĂȘTE: Art, 1 Se aprobă Regulamentul privind protecţia datelor cu caracter personal în cadrul UAT Rădăuţi conform Anexei 1 ce face parte integrantă din prezenta Hotărâre. Art. 2 Primarul municipiului Rădăuţi, prin aparatul de specialitate, va duce la îndeplinire prevederile prezentei hotărâri. | Contrasemnează pentru legalitațe, Secretar genera! al municipiului, Marinică SOFRONI |! | Preşedinte de ședință, Consilier locai Maria MEHEDIN eludui DATI reia A LOCAL Rădăuţi, 27.05.2020 Nr. 87 Anexa nr, _-—__ la HCL nr, Fr [DY osti şi conține ____40.___. pagini, REGULAMENT GDPR UAT MUNICIPIUL RĂDĂUȚI CU PRIVIRE LA PROTECȚIA DATELOR CU CARACTER PERSONAL CAP. | DISPOZIȚII GENERALE 1. Despre instituţia noastră 1.1. Suntem U.A.T. Municipiul Rădăuţi, administraţie publica locala, operator de date cu caracter personal, ce se angajează sa protejeze datele cu caracter persona! ale persoanelor fizice, prelucrate de instituție, respectând legislaţia europeana si naţionala in materie (Regulamentul UE 679/2016 GDPR si Directiva UE 680/2016, Legea 190/2018 etc.), conform îndrumărilor Autorității Naţionale de Supraveghere a Prelucrării Datelor cu Caracter Personal. 1.2. Datele de contact ale instituţiei noastre sunt: U.A.T. MUNICIPIUL RĂDĂUŢI Adresa de corespondenta: Municipiul Rădăuți, Strada: Piaţa Unirii nr. 2-4, Județul: Suceava; Adresa de corespondenta electronica: Telefon: 0230.561.140, Fax: 0230.564.703, E-Mail: relatiipublice Oprimariaradauti.ro, Portal: www.primariaradauti.ro. 1.3. instituţia noastră prelucrează date cu caracter personal referitoare la persoane fizice. Acestea pot reprezenta date în legătură cu contribuabilii, rezidenții, non rezidenții, ale partenerilor comerciali, vizitatorii instituţiei sau ai localităţii, angajaţii, candidații, voluntarii, colaboratorii, persoane ce accesează portalul de internet al instituţiei sau comunica cu noi prin orice mijloc de comunicare, etc; 1.4. Instituția noastră a adoptat măsuri tehnice şi organizatorice adecvate pentru protejarea datelor cu caracter personal împotriva distrugerilor accidentale sau ilegale, pierderii, modificării, dezvăluirii sau accesului neautorizat. Totodată s-au implementat soluții tehnice în vederea asigurării securității cibernetice a fluxurilor informatizate precum și infrastructurii și echipamentelor IT &C; 1.5. În acest sens prin politici, proceduri, regulamente, instruiri de personal și prin desemnarea unui DPO Responsabil cu protecţia datelor cu caracter personal, instituția noastră s-a aliniat la Regulamentul UE 679/2016 și va face eforturi constante și considerabile în vederea menținerii și adoptării unor standarde cât mai înalte pentru protejarea datelor cu caracter personal ale persoanelor fizice vizate de prelucrările instituției noastre; 1.6. Datele de contact ale DPO Responsabilui cu protecția datelor cu caracter personal sunt: U.A.T. MUNICIPIUL RĂDĂUȚI Responsabilului cu Protecţia Datelor cu Caracter Personal Adresa de corespondenta: U.A.T. Municipiul Rădăuţi, Strada: Piaţa Unirii nr. 2-4, Mun. Rădăuţi, Judeţul: Suceava; Adresa de corespondenta electronica: Telefon: 0230.561.140, Fax: 0230.564.703, E-Mail: dpoOprimariaradauti.ro 2. Scopul și Obiecțivele Regulamentului Meda Regulament 01 Regulament GDPR ] UAT Municipiul Rădăuţi Document Publi 2.1. Scopul acestui regulament este de a garanta și proteja drepturile şi libertăţile fundamentale ale persoanelor fizice, în special a drepturilor, cu privire la prelucrarea datelor cu caracter personal, în conformitate cu prevederile Regulamentului U.E. 679/2016 GDPR; 2.2. Conformitatea cu legislaţia si bunele practici privind protecția datelor cu caracter personal; 2.3. Transparenţa fața de modul de securizare si protejare a datelor stocate si prelucrate; 2.4. Protejarea instituţiei fata de posibilele riscuri referitoare la încălcarea securității datelor; 2.5. Prezentul regulament stabilește normele referitoare la protecţia persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulaţie a acestora; 2.6. Regulamentul stabilește măsuri tehnice și organizatorice pentru îndeplinirea obligaţiilor referitoare la securitatea și controlul sistemelor informatice, în vederea asigurării confidențialității datelor și informațiilor precum și pentru păstrarea în siguranţă a acestora, în cadrul activității curente executate de angajaţii UAT Rădăuţi; 2.7. Prin cerințe minime de securitate este avut în vedere un complex de măsuri tehnice, informatice, organizatorice, logistice, proceduri și politici de securitate prin care să se asigure nivelul minim de securitate prevăzut Regulamentului UE 679/2016 GDPR; 2.8 Exercitarea drepturilor prevăzute în prezentul regulament nu poate fi restrânsă decât în cazurile expres și limitativ prevăzute de lege. 3. Domeniul de aplicare a! Regulamentului 3.1. Regulamentul, se aplica tuturor angajaţilor UAT Rădăuţi, cu atribuţii de prelucrare a datelor cu caracter personal și persoanelor împuternicite ale UAT Rădăuţi; 3.2. Regulamentul se aplica prelucrării datelor cu caracter personal, efectuat total sau parțial prin mijloace automatizate, precum și prelucrării prin alte mijloace decât cele automatizate a datelor cu caracter persona! care fac parte dintr-un sistem de evidenţă a datelor sau care sunt destinate să facă parte dintr-un sistem de evidență a datelor; 3.3. Activitatea procedurală reprezintă aplicarea Regulamentului UE 679/2016 GDPR 2016/679 a! Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecţia persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter persona! și privind libera circulaţie a acestor date. GDPR se aplică direct în România începând cu 25 mai 2018. 4. Baza legală şi documente de referință 4.1. Regulamentul UE 611/2016, al Comisiei Europene din 24 iunie 2013, privind măsurile aplicabile notificări încălcărilor securității datelor cu caracter personal în temeiul Directivei 2002/58/CE a Parlamentului European și a Consiliului privind confidenţialitatea și comunicațiile electronice; 4.2. Regulamentul UE 679/2016, al Parlamentului European si a Consiliului Europei din 27 aprilie 2016, privind protecţia persoanelor fizice în ceea ce priveşte prelucrarea datelor cu caracter personal şi privind libera circulaţie a acestor date şi de abrogare a Directivei 95/46/CE 4.3. Directiva UE 680/2016, a Parlamentului European si a Consiliului Europei din 27 aprilie 2016, privind protecţia persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor și privind libera circulaţie a acestor date și de abrogare a Deciziei-cadru 2008/977/JAI a Consiliului; Regulament Ol Regulament GDPR 2 UAT Municipiul Rădăuţi Document Public 4.4. Directiva UE 1148/2016, a Parlamentului European si a Consiliului Europei din 6 iulie 2016, privind măsuri pentru un nive! comun ridicat de securitate a rețelelor și a sistemelor informatice în Uniune; 4.5, Avizul 4/2007, al Grupului de iucru UE, privind conceptul de date cu caracter personal; 4.6. Legea nr. 102, din 3 mai 2005, a Parlamentului Romaniei, privind înfiinţarea, organizarea şi funcţionarea Autorităţii Naţionale de Supraveghere a Prelucrării Datelor cu Caracter Personale; 4.7. Legea nr. 129, din 15 iunie 2018, a Parlamentului Romaniei, pentru modificarea şi completarea Legii nr. 102/2005 privind înfiinţarea, organizarea şi funcţionarea Autorităţii Naţionale de Supraveghere a Prelucrării Datelor cu Caracter Personal, precum şi pentru abrogarea Legii nr. 677/2001 pentru protecţia persoanelor cu privire la prelucrarea datelor cu caracter personal şi libera circulaţie a acestor date; 4.8. Legea nr. 190/2018, din 31 iulie 2018, a Parlamentului Romaniei, privind măsuri de punere în aplicare a Regulamentului (UE) 679/2016, al Parlamentului European şi al Consiliului din 27 aprilie 2016 privind protecţia persoanelor fizice în ceea ce priveşte prelucrarea datelor cu caracter personal şi privind libera circulaţie a acestor date şi de abrogare a Directivei 95/46/EC (Regulamentul general privind protecţia datelor); 4.9. Legea nr. 362/2018, din 28 decembrie 2018, privind asigurarea unui nivel comun ridicat de securitate a reţelelor şi sistemelor informatice; 4.10. Legea nr. 363, din 28 decembrie 2018, privind protecţia persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autorităţile competente în scopul prevenirii, descoperirii, cercetării, urmăririi penale şi combaterii infracţiunilor sau al executării pedepselor, măsurilor educative şi de siguranţă, precum şi privind libera circulaţie a acestor date; 4.11. Regulament ANSPDCP, din 2 noiembrie 2005, de organizare şi funcţionare a Autorităţii Naţionale de Supraveghere a Prelucrării Datelor cu Caracter Personal, cu modificările și completările ulterioare, inclusiv cele cuprinse în Hotărârea Biroului permanent a! Senatului nr.18/2019; 4.12. Decizia ANSPDCP nr. 128, din 22 iunie 2018, privind aprobarea formularului tipizat al notificării de încălcare a securităţii datelor cu caracter personal în conformitate cu Regulamentul (UE) 2016/679 privind protecţia persoanelor fizice în ceea ce priveşte prelucrarea datelor cu caracter personal şi privind libera circulaţie a acestor date şi de abrogare a Directivei 95/46/CE (Regulamentul general privind protecţia datelor); 4.13. Decizia ANSPDCP nr. 133, din 3 iulie 2018 privind aprobarea Procedurii de primire şi soluţionare a plângerilor; 4.14. Decizia ANSPDCP nr. 161, din 9 octombrie 2018, privind aprobare a Procedurii de efectuare a investigaţiilor; 4.15. Decizia ANSPDCP, nr. 174, din 18 octombrie 2018 privind lista operaţiunilor pentru care este obligatorie realizarea evaluării impactului asupra protecţiei datelor cu caracter personal; 4.16. Decizia ANSPDCP, nr. 184/2014, privind aprobarea formularului tipizat a! notificării de încălcare a securităţii datelor cu caracter personal pentru furnizorii de servicii publice de reţele sau servicii de comunicaţii electronice, în conformitate cu Regulamentul (UE) nr. 611/2013 al Comisiei din 24 iunie 2013 privind măsurile aplicabile notificării încălcărilor securităţii datelor cu caracter personal în temeiul Directivei 2002/58/CE a Parlamentului European şi a Consiliului privind confidenţialitatea şi comunicațiile electronice; 4.17. Procedura ANSPDCP, din 9 octombrie 2018, de efectuare a investigaţiilor; (Mhhectear i Regulament 0i Regulament GDPR 3 UAT Municipiul Rădăuţi Document Public 4.18. Informare ANSPDCP privind drepturile persoanelor vizate, extras din Reg. 679/2016; 4.19. Ghid orientativ ANSPDCP, de aplicare a Regulamentului GDPR; 4.20. Ghid ANSPDCP, privind Responsabilul cu protecția datelor DPO; 4.21. Ghid ANSPDCP, cu întrebări si răspunsuri cu privire la aplicarea Reg. 679/2016 GDPR; 4.22. Broșura ANSPDCP, Noul Regulament General privind Protecţia Datelor; 5, Definiţii si limbaj specific al legislaţiei privind prelucrarea datelor cu caracter personal 5.1. Termenii și definițiile cele mai importante cu privire la această politică sunt următoarele: 5.1.1. GDPR - termenul de „„GDPR” este abrevierea a „General Data Protection Regulation” sau în limba română, "RGPD - Regulamentul General privind Protecţia Datelor”, ambele abrevierii făcând referire la Regulamentului UE 679/2016, iar scopul acestei dispoziţii legale este de a proteja datele cu caracter personal și a delimita clar modul în care acestea pot fi prelucrate; 5.1.2. DPO - termenul de „DPO” este abrevierea a „Data Protection Officer”, Ofiţer Responsabil cu protecţia datelor cu caracter personal, desemnat în cadrul instituţiei cu atribuții privind protejarea datelor cu caracter personal, așa cum este definit în Regulamentului UE 679/2016; 5.1.3. DCP - Date cu caracter personal - orice informaţii privind o persoană fizică identificată sau identificabilă denumita „persoana vizată”. O persoană fizică identificabilă este o persoană care poate fi identificată, direct sau indirect, în special prin referire la un element de identificare, cum ar fi un nume, un număr de identificare, date de localizare, un identificator on-line, sau la unui sau mai multe elemente specifice, proprii identității sale fizice, fiziologice, genetice, psihice, economice, culturale sau sociale; 5.1.4. Persoana vizată - o persoană fizică identificabilă este o persoană care poate fi identificată, direct sau indirect, în special prin referire la un element de identificare, cum ar fi un nume, un număr de identificare, date de localizare, un identificator online, sau la unul sau mai multe elemente specifice, proprii identității sale fizice, fiziologice, genetice, psihice, economice, culturale sau sociale; 5.1.5. Operator - persoana fizică sau juridică, autoritatea publică, agenţia sau alt organism care, singur sau împreună cu altele, stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal; atunci când scopurile și mijloacele prelucrării sunt stabilite prin dreptul Uniunii sau dreptul intern, operatorul sau criteriile specifice pentru desemnarea acestuia pot fi prevăzute în dreptul Uniunii sau în dreptul intern; 5.1.6. Persoană împuternicită de operator - persoana fizică sau juridică, autoritatea publică, agenţia sau alt organism care prelucrează datele cu caracter personal în numele operatorului. 5.1.7. Prelucrare - orice operaţiune sau set de operațiuni efectuate asupra datelor cu caracter personal sau asupra seturilor de date cu caracter personal, cu sau fără utilizarea de mijloace automatizate, cum ar fi colectarea, înregistrarea, organizarea, structurarea, stocarea, adaptarea sau modificarea, extragerea, consultarea, utilizarea, divulgarea prin transmitere, diseminarea sau punerea la înregistrarea, organizarea, structurarea, stocarea, adaptarea sau modificarea, extragerea, consultarea, utilizarea, divulgarea prin transmitere, diseminarea sau punerea la dispoziţie în orice alt mod, alinierea sau combinarea, restricționarea, ștergerea sau distrugerea; 5.1.8. Colectarea - strângerea, adunarea ori primirea datelor cu caracter personal prin orice mijloace iegale și din orice sursă; Regulament 01! Regulament GDPR 4 UAT Municipiul Rădăuţi Document Public 5.1.9. Înregistrarea - consemnarea datelor cu caracter personal într-un sistem de evidenţă automată ori neautomată, care poate fi registru, fișier automat, bază de date sau orice formă de evidenţă organizată, structurată ori ad-hoc sau într-un text, înşiruire de date ori document, indiferent de modalitatea în care se înscriu datele; 5.1.10. Organizarea - ordonarea, structurarea sau sistematizarea datelor cu caracter personal, conform unor criterii prestabilite, potrivit atribuţiilor legale ale operatorului, în scopul eficientizării/optimizării activităţilor de prelucrare a acestora; Stocarea - păstrarea pe orice fel de suport a datelor cu caracter personal culese, inclusiv prin efectuarea copiilor de siguranţă; 5.1.11. Adaptarea - transformarea datelor cu caracter personal colectate iniţial, conform criteriilor prestabilite și scopurilor pentru care au fost colectate; 5.1.12. Modificarea - actualizarea, completarea, schimbarea, corectarea ori refacerea datelor cu caracter personal, în scopul menţinerii caracteristicilor de exactitate, realitate, actualitate; 5.1.13. Extragerea - scoaterea unei părți din categoria specifică de date cu caracter personai, în scopul utilizării acesteia, separat și distinct de prelucrarea inițială; 5.1.14. Consultarea - examinarea, vizualizarea, interogarea ori cercetarea datelor cu caracter personal, fără a fi limitate la acestea, în scopul efectuării unei operaţiuni sau set de operaţiuni de prelucrare ulterioare; 5.1.15. Utilizarea - folosirea datelor cu caracter personal, în tot sau în parte, de către și în interiorul operatorului, împuterniciţilor operatorului ori destinatarului, dup caz, inclusiv prin tipărire, copiere, multiplicare, scanare sau orice alte procedee similare; 5.1.16. Dezvăluirea sau divulgarea - a face disponibile date cu caracter personal către terţi prin comunicare, transmitere, diseminare sau punerea la dispoziţie în orice alt mod; 5.1.17. Alăturarea - adăugarea, alipirea sau anexarea unor date cu caracter persona! la cele deja existente, pe care nu le modifică; 5.1.18. Combinarea sau alinierea - îmbinarea, unirea sau asamblarea unor date personale separate iniţial, într-o formă nouă, prin criterii prestabilite, pentru scopuri anume determinate; 5.1.19. Blocarea - întreruperea prelucrării datelor cu caracter personal; 5.1.20. Restricționarea - marcarea datelor cu caracter persona! stocate cu scopul de a limita prelucrarea viitoare a acestora; 5.1.21. Ștergerea - eliminarea sau înlăturarea, în tot sau în parte, a datelor cu caracter persona! din evidențe sau înregistrări, prin împlinirea termenului de păstrare, la atingerea scopului pentru care au fost introduse, caducitatea, inexistenţa, inexactitatea; 5.1.22. Transformarea - operaţiunea efectuat asupra datelor cu caracter persona! având ca scop anonimizarea ori utilizarea acestora în scopuri exclusiv statistice; 5.1.23. Distrugerea - aducerea la stare de neîntrebuinţare, în condiţiile legii, definitiv și irecuperabil, prin mijloace mecanice sau termice, a suportului fizică pe care au fost prelucrate date cu caracter personal; 5.1.24. Creare de profiluri - înseamnă orice formă de prelucrare automată a datelor cu caracter personal care constă în utilizarea datelor cu caracter personal pentru a evalua anumite aspecte personale referitoare la o persoană fizică, în special pentru a analiza sau prevedea aspecte privind performanţa la locul de muncă, Situația economică, sănătatea, preferințele personale, interesele, fiabilitatea, comportamentul, locul în care se afla persoana fizică respectiv deplasările acesteia; (betty Regulament 01| Regulament GDPR 5 UAT Municipiul Rădăuți Document Public 5.1.25. Pseudonimizare sau date anonime - înseamnă prelucrarea datelor cu caracter personal într-un asemenea mod încât acestea să nu mai poată fi atribuite unei anume persoane vizate fără a se utiliza informaţii suplimentare, cu condiţia ca aceste informații suplimentare să fie stocate separat și să facă obiectul unor măsuri tehnice și organizatorice care să asigure neatribuirea respectivelor date cu caracter personal unei persoane fizice identificate sau identificabile; 5.1.26. Sistem de evidenţă a datelor - înseamnă orice set structurat de date cu caracter personal accesibile conform unor criterii specifice, fie ele centralizate, descentralizate sau repartizate după criterii funcţionale sau geografice; 5.1.27. Destinatar - înseamnă persoana fizică sau juridică, au [...]