Politica de securitate a datelor

CAPITOLUL 1. SCOP : 

Scopul acestei politici este de a stabili masurile necesare si responsabilitatile angajatilor S.C. MBA EVAL CONSULT S.R.L., pentru indeplinirea obligatiilor referitoare la garantarea si protejarea drepturilor si libertatilor fundamentale ale persoanelor fizice, in special a dreptului la viata intima, familiala si privata, cu privire la prelucrarea datelor cu caracter personal.

CAPITOLUL 2. DOMENIUL DE APLICARE :

Prezenta politica se aplica tuturor angajatilor S.C. MBA EVAL CONSULT S.R.L. cu atributii de prelucrare a datelor cu caracter personal si/sau dupa caz persoanelor imputernicite.

CAPITOLUL 3. TERMENI SI DEFINITII:

ANSPDCP – Autoritatea Nationala de Supraveghere a Prelucrarii Datelor cu Caracter Personal;

Codul numeric personal (CNP) – un numar semnificativ care individualizeaza in mod unic o persoana fizica, constituind un instrument de verificare a starii civile a acesteia si de identificare in anumite sisteme informatice de catre persoanele autorizate;

Date cu caracter personal – orice informatii referitoare la o persoana fizica identificata sau identificabila; o persoana identificabila este acea persoana care poate fi identificata, direct sau indirect, in mod particular prin referire la un numar de identificare ori la unul sau la mai multi factori specifici identitatii sale fizice, fiziologice, psihice, economice, culturale sau sociale;

Date cu caracter personal cu functie de identificare de aplicabilitate generala (date cu caracter special) – numere prin care se identifica o persoana fizica in anumite sisteme de evidenta si care au aplicabilitate generala, cum ar fi: codul numeric personal, seria si numarul actului de identitate, numarul pasaportului, al permisului de conducere, numarul de asigurare sociala sau de sanatate;

Date anonime – date care, datorita originii sau modalitatii specifice de prelucrare, nu pot fi asociate cu o persoana identificata sau identificabila

Operator – orice persoana fizica sau juridica, de drept privat ori de drept public, inclusiv autoritatile publice, institutiile si structurile teritoriale ale acestora, care stabileste scopul si mijloacele de prelucrare a datelor cu caracter personal; daca scopul si mijloacele de prelucrare a datelor cu caracter personal sunt determinate printr-un act normativ sau in baza unui act normativ, operator este persoana fizica sau juridica, de drept public ori de drept privat, care este desemnata ca operator prin acel act normativ sau in baza acelui act normativ;

Persoana imputernicita de catre operator – o persoana fizica sau juridica, de drept privat ori de drept public, inclusiv autoritatile publice, institutiile si structurile teritoriale ale acestora, care prelucreaza date cu caracter personal pe seama operatorului;

Persoana responsabila de politica de securitate a datelor cu caracter personal – persoana responsabila de functionarea corespunzatoare a sistemului complex de protectie a informatiei care contine date cu caracter personal, precum si de elaborarea, implementarea si monitorizarea respectarii prevederilor politicii de securitate a detinatorului de date cu caracter personal;

Prelucrarea datelor cu caracter personal – orice operatiune sau set de operatiuni care se efectueaza asupra datelor cu caracter personal, prin mijloace automate sau neautomate, cum ar fi colectarea, inregistrarea, organizarea, stocarea, adaptarea ori modificarea, extragerea, consultarea, utilizarea, dezvaluirea catre terti prin transmitere, diseminare sau in orice alt mod, alaturarea ori combinarea, blocarea, stergerea sau distrugerea;

Stocarea – pastrarea pe orice fel de suport a datelor cu caracter personal culese;

Utilizator – orice persoana care actioneaza sub autoritatea operatorului, a persoanei imputernicite sau a reprezentantului, cu drept recunoscut de acces la bazele de date cu caracter personal.

CAPITOLUL 4. DOCUMENTE DE REFERINTA:

• Legea nr. 677/2001 pentru protectia persoanelor cu privire la prelucrarea datelor cu caracter personal si libera circulatie a acestor date, cu modificarile si completarile ulterioare;
• Ordinul Avocatului Poporului nr. 52 din 18/04/2002 privind aprobarea Cerintelor minime de securitate a prelucrarilor de date cu caracter personal
• Decizia ANSPDCP nr. 52/2012 privind prelucrarea datelor cu caracter personal prin utilizarea mijloacelor de supraveghere video
• Decizia ANSPDCP nr. 90 din 18/07/2006 privind stabilirea cazurilor in care nu este necesara notificarea prelucrarii unor date cu caracter personal
• Decizia ANSPDCP nr. 100 din 23/11/2007 privind stabilirea cazurilor in care nu este necesara notificarea prelucrarii unor date cu caracter personal
• Decizia ANSPDCP nr. 132 din 20/12/2011 privind conditiile prelucrarii codului numeric personal si a altor date cu caracter personal avand o functie de identificare de aplicabilitate generala

CAPITOLUL 5. PRECIZARI : 

5.1.  REGULI GENERALE

Prin cerinte minime de securitate este avut in vedere un complex de masuri tehnice, informatice, organizatorice, logistice, proceduri si politici de securitate prin care sa se asigure nivelul minim de securitate prevazut in art. 20 din Legea nr. 677/2001, in conformitate cu cerintele minime de securitate a prelucrarilor de date cu caracter personal, aprobate prin Ordinul 52 din 18 aprilie 2002 ale Avocatului Poporului.

S.C. MBA EVAL CONSULT S.R.L. a adoptat masuri tehnice si organizatorice adecvate pentru protejarea datelor cu caracter personal impotriva distrugerilor accidentale sau ilegale, pierderii, modificarii, dezvaluirii sau accesului neautorizat. In acest sens au fost desemnate, la nivelul S.C. MBA EVAL CONSULT S.R.L., persoane responsabile cu respectarea dispozitiilor Legii nr.677/2001.

S.C. MBA EVAL CONSULT S.R.L. a luat masuri de stocare in siguranta a informatiilor privind date cu caracter personal, astfel incat sa fie asigurat un nivel adecvat de protectie si securitate, in sensul Legii 677/2001.

Pentru indeplinirea prevederilor legale aferente si in vederea satisfacerii cerintelor pastrarii in siguranta a datelor si informatiilor, institutia a elaborat si implementat masuri organizatorice si tehnice orientate pe anumite directii de actiune:

–           Identificarea si autentificarea utilizatorului

–           Tipul de acces

–           Colectarea datelor

–           Executia copiilor de siguranta

–           Computerele si terminalele de acces

–           Fisierele de acces

–           Instruirea personalului

5.2. PROCEDURI SPECIFICE

5.2.1 Identificarea si autentificarea utilizatorului

Pentru a capata acces la date cu caracter personal, utilizatorii trebuie sa se autentifice in sistemele informatice ale S.C. MBA EVAL CONSULT S.R.L. Autentificarea in cadrul sistemelor informatice ale S.C. MBA EVAL CONSULT S.R.L. se face prin introducerea credentialelor de autentificare unice si netransmisibile dobandite in urma procesului de inrolare si management al identitatii electronice, guvernat de politicile de securitate in vigoare.

Fiecare utilizator are propriul sau cod de identificare (nume de utilizator). Niciodata nu este alocat acelasi cod de indentificare mai multor utilizatori si acesta nu poate fi partajat de catre mai multe persoane.

Codurile de identificare (sau conturi de utilizator) nefolosite o perioada mai indelungata sunt dezactivate si distruse dupa un control prealabil. Perioada dupa care codurile trebuie dezactivate si distruse este stabilita prin politicile S.C. MBA EVAL CONSULT S.R.L.

Orice cont de utilizator este insotit de o modalitate de autentificare, prin introducerea unei chei de autentificare precum o parola, un certificate digital sau un raspuns generat de un token.

Parolele sunt siruri de caractere, adecvate din punct de vedere al securitatii ca lungime si compozitie. La introducerea parolelor acestea nu sunt afisate in clar pe monitor. Parolele sunt schimbate periodic conform politicilor de Securitate S.C. MBA EVAL CONSULT S.R.L. (Politica de Securitate a Informatiei – Securitate Logica). Schimbarea periodica a parolelor se face numai de catre utilizatori autorizati.

Sistemul informational blocheaza automat accesul unui utilizator dupa un numar fix de introduceri gresite ale cheii de autentificare.

Orice utilizator care primeste un cod de identificare si un mijloc de autentificare este obligat prin fisa postului sa pastreze confidentialitatea acestora si sa raspunda in acest sens in fata operatorului.

Este stabilita o procedura proprie de administrare si gestionare a conturilor de utilizator. Sunt autorizati anumiti utilizatori pentru a revoca sau a suspenda un cod de identificare si autentificare, daca utilizatorul acestora si-a dat demisia ori a fost concediat, si-a incheiat contractul, a fost transferat la alt serviciu si noile sarcini nu ii solicita accesul la date cu caracter personal, a abuzat de codurile primite sau daca va absenta o perioada indelungata stabilita de entitate.

5.2.2. Tipul de acces

Utilizatorii trebuie sa acceseze numai datele cu caracter personal necesare pentru indeplinirea atributiilor lor de serviciu. Pentru aceasta trebuie sa fie stabilite tipurile de acces dupa functionalitate (administrare, introducere, prelucrare, salvare etc.) si dupa actiuni aplicate asupra datelor cu caracter personal (scriere, citire, stergere), precum si procedurile privind aceste tipuri de acces.

Compartimentul care asigura suportul tehnic poate avea acces la datele cu caracter personal pentru rezolvarea incidentelor si a problemelor aparute in utilizarea sistemelor informatice.

Alte masuri specifice implementate pentru controlul accesului, sunt:

–  in spatiile destinate desfasurarii activitatii institutiei sunt instalate sisteme de alarma antiefractie;

– in spatiul aferent intrarii in cadrul institutiei si in holurile de acces la etajele superioare sunt instalate sisteme de supraveghere video;

– monitorizarea si interventia in caz de alarma este asigurata de o firma de protectie si paza.

5.2.3. Colectarea datelor

S.C. MBA EVAL CONSULT S.R.L. desemneaza utilizatori autorizati pentru operatiile de colectare si introducere de date cu caracter personal in sistemele informationale.

Orice modificare a datelor cu caracter personal trebuie sa se poate face numai de catre utilizatori autorizati desemnati.

S.C. MBA EVAL CONSULT S.R.L. va lua masuri pentru ca sistemele informationale sa inregistreze cine a facut modificarea datelor cu caracter personal, data si ora modificarii. Pentru o mai buna administrare, vor fi implementate masuri pentru ca sistemele informationale sa mentina datele sterse sau modificate.

5.2.4. Executia copiilor de siguranta

S.C. MBA EVAL CONSULT S.R.L. a stabilit intervalul de timp la care se vor executa copiile de siguranta ale bazelor de date ce contin date cu caracter personal, precum si ale programelor folosite pentru prelucrarile automatizate.

Utilizatorii care executa aceste copii de siguranta sunt numiti de S.C. MBA EVAL CONSULT S.R.L., intr-un numar restrans.

Copiile de siguranta se stocheaza intr-un safe box cu aces restrictionat la personal IT, aflat intr-o alta locatie fata de cea in care se efectueaza copia de siguranta.

Accesul la copiile de siguranta trebuie sa fie monitorizat.

Sistemele care gestioneaza date cu caracter personal trebuie sa fie protejate prin procesul de backup periodic impotriva pierderii, sau distrugerii datelor sau a sistemului informatic.

 5.2.5. Computerele si terminalele de acces

Computerele si alte terminale de acces la date cu caracter personal aflate in sediul S.C. MBA EVAL CONSULT S.R.L. vor fi instalate in incaperi cu acces restrictionat.

Unde nu pot fi asigurate aceste conditii, computerele vor fi instalate in incaperi care se pot incuia. Daca pe ecran apar date cu caracter personal asupra carora nu se actioneaza o perioada data, stabilta de catre S.C. MBA EVAL CONSULT S.R.L., sesiunea de lucru se va inchide automat. Marimea acestei perioade se determina in functie de operatiile care trebuie executate.

Terminalele de acces folosite in relatia cu publicul, pe care apar date cu caracter personal, vor fi pozitionate astfel incat sa nu poata fi vazute de public si dupa o perioada scurta, stabilita de S.C. MBA EVAL CONSULT S.R.L., in care nu se actioneaza asupra lor, acestea vor fi ascunse sau sesiunea de lucru va fi inchisa.

Serverele care gazduiesc date cu caracter personal pot fi accesate doar in mod controlat, pe baza de drepturi de acces, conform politicilor de securitate ale grupului si adoptate de S.C. MBA EVAL CONSULT S.R.L.;

Nu este permisa scoaterea din institutie a mediilor de stocare mobile (CD/DVD, USB Stick, Portable HDD) care contin date cu caracter personal, decat cu aprobare prealabila din partea conducerii institutiei.

5.2.6. Fisierele de acces

S.C. MBA EVAL CONSULT S.R.L. ia masuri ca orice accesare a bazei de date cu caracter personal sa fie inregistrata.

Pentru prelucrarile automate, aceste informatii sunt stocate intr-un fisier de acces general sau in fisiere separate pentru fiecare utilizator. Orice incercare de acces neautorizat va fi, de asemenea, inregistrata.

S.C. MBA EVAL CONSULT S.R.L. pastreaza fisierele de acces cel putin 2 ani, pentru a fi folosite ca probe in cazul unor investigatii. Daca investigatiile se prelungesc, aceste fisiere se vor pastra atat timp cat se va considera necesar.

Fisierele de acces fac posibila identificarea de catre S.C. MBA EVAL CONSULT S.R.L. sau de catre persoana imputernicita, a persoanelor care au accesat date cu caracter personal fara un motiv anume, in vederea aplicarii unor sanctiuni sau a sesizarii organelor competente.

5.2.7. Sistemele de telecomunicatii

S.C. MBA EVAL CONSULT S.R.L. face periodic reviziuirea conturilor de utilizatori si a privilegiilor acordate pentru detectarea unor disfunctionalizati in ceea ce priveste sistemelor informationale.

Sisteleme informationale vor fi concepute astfel incat datele cu caracter personal sa nu poate fi interceptate sau transmise de oriunde.

Prin sistemele de telecomunicatii datele cu caracter personal vor fi transmise printr-un canal sigur. Datele cu character personal transferate in zonele de securitate externa sau nesigura vor fi criptate. Toate prevederile documentului Politica de Securitate a Informatiei- Retea si Firewall sunt aplicabile.

5.2.8. Instruirea personalului

Personalul S.C. MBA EVAL CONSULT S.R.L. este informat cu privire la prevederile Legii nr. 677/2001 pentru protectia persoanelor cu privire la prelucrarea datelor cu caracter personal si libera circulatie a acestor date, la cerintele minime de securitate a prelucrarilor de date cu caracter personal, precum si cu privire la riscurile pe care le comporta prelucrarea datelor cu caracter personal.

Utilizatorii care au acces la date cu caracter personal vor fi instruiti asupra confidentialitatii acestora si vor fi avertizati prin mesaje care vor aparea pe monitoare in timpul activitatii.

Utilizatorii sunt obligati sa isi inchida sesiunea de lucru atunci cand parasesc locul de munca.

Toate prevederile documentului Politica de Securitate a Informatiei – Utilizarea Adecvata a Sistemelor IT sunt aplicabile.

5.2.9. Folosirea computerelor

Pentru mentinerea securitatii prelucrarii datelor cu caracter personal (in special impotriva virusilor informatici) trebuie luate masuri privind:

– interzicerea folosirii de catre utilizatori a programelor software care provin din surse neverificate;

– informarea utilizatorilor in privinta pericolului privind virusii informatici;

– implementarea unor sisteme automate de tip antivirus si protective malware si de securitate a sistemelor informatice;

– dezactivarea posibilitatii de copiere sau imprimare a datelor cu caracter personal afisate pe ecran in afara fluxurilor normale de afaceri.

5.2.10. Imprimarea datelor

Scoaterea la imprimanta a datelor cu caracter personal se va realiza numai de utilizatori autorizati de catre S.C. MBA EVAL CONSULT S.R.L. pentru aceasta operatiune.

5.2.11. Prelucrarea manuala de date cu caracter personal 

Documentele care contin date cu caracter personal vor fi tinute in fisete sau dulapuri inchise cu cheie sau cu un alt mecanism de securizare. Documentele care contin date cu caracter personal, folosite pentru realizarea anumitor operatiuni se vor preda persoanelor abilitate sau se vor inchide imediat dupa terminarea acestora.

5.3. Principiile care stau la baza prelucrarii datelor cu caracter personal

Prelucrarea datelor cu caracter personal se realizeaza cu respectarea cerintelor legale si in conditii care sa asigure securitatea, confidentialitatea si respectarea drepturilor persoanelor vizate.

Prelucrarea datelor cu caracter personal se face cu respectarea urmatoarelor principii:

• Legalitatea: Prelucrarea datelor cu caracter personal se face in temeiul si in conformitate cu prevederile legale;
• Scopul bine-determinat:  Orice prelucrare de date cu caracter personal se face in scopuri bine determinate, explicite si legitime, adecvate, pertinente si neexcesive prin raportare la scopul in care sunt colectate si ulterior prelucrate;
• Confidentialitatea: Persoanele care prelucreaza, in numele S.C. MBA EVAL CONSULT S.R.L., date cu caracter personal au prevazut in fisa postului, anexa la contractul individual de munca, o clauza de confidentialitate;
• Consimtamantul persoanei vizate:  Orice prelucrare de date cu caracter personal, cu exceptia prelucrarilor care vizeaza date din categoriile strict mentionate in Legea 677/2001, poate fi efectuata numai daca persoana vizata si-a dat consimtamantul in mod expres si neechivoc pentru acea prelucrare;
• Informarea: Persoanele vizate iau cunostinta despre faptul ca li se vor prelucra date cu caracter personal;
• Protejarea persoanelor vizate: Drepturile persoanelor vizate sunt prezentate la punctul 5.6.
• Securitatea: Masurile de securitate a datelor cu caracter personal sunt stabilite astfel incat sa asigure un nivel adecvat de securitate a datelor cu caracter personal procesate.

5.4. Prelucrarea datelor cu caracter personal avand o functie de identificare de aplicabilitate generala, inclusiv dezvaluirea acestora catre terti, se face numai in urmatoarele conditii:

1.  a) persoana vizata si-a dat in mod expres consimtamantul; sau
2.  b) prelucrarea este prevazuta in mod expres de o dispozitie legala; sau
3.  c) in alte cazuri, cu avizul Autoritatii Nationale de Supraveghere a Prelucrarii Datelor cu Caracter Personal si numai cu conditia instituirii unor garantii adecvate pentru respectarea drepturilor persoanelor vizate.

S.C. MBA EVAL CONSULT S.R.L. respecta principiul caracterului adecvat, pertinent si neexcesiv, precum si masurile de confidentialitate si de securitate a prelucrarilor. In cazul prevazut la punctul c) de mai sus, se au in vedere urmatoarele aspecte:

• scopul prelucrarii sa fie determinat, explicit si legitim;
• stabilirea si aplicarea unor masuri prin care sa se asigure exercitarea drepturilor persoanelor vizate;
• durata de stocare a datelor sa fie pe perioada strict necesara indeplinirii scopului, dupa care datele vor fi sterse sau distruse, dupa caz;
• stabilirea modalitatilor de acces la sistemele de evidenta in vederea colectarii datelor, in functie de care se vor stabili si respecta masuri tehnice si organizatorice adecvate pentru protejarea datelor;
• utilizarea datelor numai in limitele scopului stabilit;
• dezvaluirea catre alti destinatari este interzisa, cu exceptia situatiei in care exista consimtamantul persoanei vizate sau o prevedere legala expresa;
• desemnarea, in scris, a persoanei/persoanelor care va/vor prelucra datele si care trebuie sa isi asume raspunderea pastrarii confidentialitatii acestora, lista continand evidenta acestor persoane fiind actualizata ori de cate ori se impune;
• numirea, in scris, a unei persoane specializate in securitatea informatiei care sa vegheze la prelucrarea datelor, inclusiv la buna functionare a sistemelor informatice utilizate in aceasta activitate;
• stabilirea unui plan de securitate a informatiilor care sa cuprinda, in principal, securitatea tehnica pe plan informatic si securitatea spatiilor in care se prelucreaza datele, tinand cont de cerintele minime de securitate;
• stabilirea, in scris, a drepturilor si obligatiilor operatorului care transmite datele si ale operatorului care le primeste.

Colectarea si prelucrarea datelor cu caracter personal avand o functie de identificare de aplicabilitate generala, inclusiv dezvaluirea acestora, prin efectuarea si retinerea de copii de pe cartea de identitate sau de pe documente care le contin, sunt interzise, cu exceptia situatiilor prevazute la punctele a), b) si c) de mai sus.

5.5. Prelucrarea datelor cu caracter personal prin utilizarea sistemelor de supraveghere video 

Prelucrarea datelor cu caracter personal prin utilizarea sistemelor de supraveghere video se efectueaza cu respectarea regulilor generale prevazute de art. 4 din Legea nr. 677/2001, cu modificarile si completarile ulterioare.

Camerele de supraveghere video sunt montate in locuri vizibile.

Prelucrarea datelor cu caracter personal prin mijloace de supraveghere video se face pentru realizarea unor interese legitime, fara a se prejudicia drepturile si libertatile fundamentale sau interesul persoanelor vizate. Nu este permisa prelucrarea datelor cu caracter personal ale angajatilor prin mijloace de supraveghere video in interiorul spatiilor/birourilor unde acestia isi desfasoara activitatea la locul de munca, cu exceptia situatiilor prevazute expres de lege sau a avizului ANSPDCP.

S.C. MBA EVAL CONSULT S.R.L., in calitate de operator care prelucreaza date cu caracter personal prin mijloace de supraveghere video este obligat sa furnizeze informatiile prevazute la art. 12 alin. (1) din Legea nr. 677/2001, cu modificarile si completarile ulterioare, inclusiv cu privire la:

1. a) existenta sistemului de supraveghere video si scopul prelucrarii datelor prin astfel de mijloace;
2. b) identitatea operatorului;
3. c) existenta inregistrarii imaginilor si categoriile de destinatari ai acestora;
4. d) drepturile persoanelor vizate si modul de exercitare a acestora.

Informatiile mentionate mai sus trebuie aduse la cunostinta persoanelor vizate, in mod clar si permanent.

Existenta sistemului de supraveghere video este semnalata prin intermediul unei pictograme care contine o imagine reprezentativa cu vizibilitate suficienta si pozitionata la o distanta rezonabila de locurile unde sunt amplasate echipamentele de supraveghere video.

Prelucrarea datelor cu caracter personal prin mijloace de supraveghere video se poate realiza decat de persoanele autorizate de catre S.C. MBA EVAL CONSULT S.R.L. (personal propriu sau persoane imputernicite de catre operator), instruite cu privire la legislatia referitoare la protectia datelor cu caracter personal si obligate sa se supuna acesteia.

Durata de stocare a datelor obtinute prin intermediul sistemului de supraveghere video este proportionala cu scopul pentru care se prelucreaza datele, dar nu mai mare de 30 de zile, cu exceptia situatiilor expres reglementate de lege sau a cazurilor temeinic justificate.

La expirarea termenului stabilit, inregistrarile se distrug sau sterg, dupa caz, in functie de suportul pe care s-au stocat.

5.6. Drepturile persoanelor ale caror date personale sunt colectate si/ sau prelucrate

 5.6.1. Dreptul de a fi informat

(1) In cazul in care datele cu caracter personal sunt obtinute direct de la persoana vizata, S.C. MBA EVAL CONSULT S.R.L. este obligat sa furnizeze persoanei vizate cel putin urmatoarele informatii, cu exceptia cazului in care aceasta persoana poseda deja informatiile respective:

1. a) scopul in care se face prelucrarea datelor;
2. b) informatii suplimentare, precum: destinatarii sau categoriile de destinatari ai datelor; daca furnizarea tuturor datelor cerute este obligatorie si consecintele refuzului de a le furniza;

c)existenta drepturilor prevazute de lege pentru persoana vizata, in special a dreptului de acces, de interventie asupra datelor si de opozitie, precum si conditiile in care pot fi exercitate;

1. d) orice alte informatii a caror furnizare este impusa prin dispozitie a autoritatii de supraveghere, tinand seama de specificul prelucrarii.

(2) Inainte de completarea datelor cu caracter personal se solicita consimtamantul persoanelor vizate, pentru prelucrarea acestora;

(3) Numarul de inregistrare a notificarii comunicat de Autoritatea Nationala de supraveghere se mentioneaza in orice document prin care se colecteaza, stocheaza sau dezvaluie date cu caracter personal;

(4) Cladirile care sunt supravegheate video vor avea, la intrare, afisat in loc vizibil, informarea privind preluarea si stocarea de imagini.

5.6.2. Dreptul de acces la date

Orice persoana vizata are dreptul de a obtine de la S.C. MBA EVAL CONSULT S.R.L. (in calitate de operator), la cerere si in mod gratuit pentru o solicitare pe an, confirmarea faptului ca datele care o privesc sunt sau nu sunt prelucrate de acesta.

S.C. MBA EVAL CONSULT S.R.L. este obligat, in situatia in care prelucreaza date cu caracter personal care privesc solicitantul, sa comunice acestuia, impreuna cu confirmarea, cel putin urmatoarele:

1. a) informatii referitoare la scopurile prelucrarii, categoriile de date avute in vedere si destinatarii sau categoriile de destinatari carora le sunt dezvaluite datele;
2. b) comunicarea intr-o forma inteligibila a datelor care fac obiectul prelucrarii, precum si a oricarei informatii disponibile cu privire la originea datelor;
3. c) informatii asupra principiilor de functionare a mecanismului prin care se efectueaza orice prelucrare automata a datelor care vizeaza persoana respectiva;
4. d) informatii privind existenta dreptului de interventie asupra datelor si a dreptului de opozitie, precum si conditiile in care pot fi exercitate;
5. e) informatii asupra posibilitatii de a inainta plangere catre autoritatea de supraveghere, precum si de a se adresa instantei pentru atacarea deciziilor operatorului, in conformitate cu dispozitiile legii.

Nota:

(1) Persoana vizata poate solicita de la S.C. MBA EVAL CONSULT S.R.L. informatiile prevazute de lege, printr-o cerere intocmita in forma scrisa, semnata si inregistrata la registratura companiei. In cerere solicitantul poate arata daca doreste ca informatiile sa ii fie comunicate la o anumita adresa, care poate fi si de posta electronica, sau printr-un serviciu de corespondenta care sa asigure ca predarea i se va face numai personal.

(2) S.C. MBA EVAL CONSULT S.R.L. este obligat sa comunice informatiile solicitate, in termen de 15 zile de la data primirii cererii, cu respectarea eventualei optiuni a solicitantului.

5.6.3. Dreptul de interventie asupra datelor

Orice persoana vizata are dreptul de a obtine de la operator, la cerere si in mod gratuit:

1. a) dupa caz, rectificarea, actualizarea, blocarea sau stergerea datelor a caror prelucrare nu este conforma legii, in special a datelor incomplete sau inexacte;
2. b) dupa caz, transformarea in date anonime a datelor a caror prelucrare nu este conforma legii.

5.6.4. Dreptul de opozitie

Persoana vizata are dreptul de a se opune in orice moment, din motive intemeiate si legitime legate de situatia sa particulara, ca date care o vizeaza sa faca obiectul unei prelucrari, cu exceptia cazurilor in care exista dispozitii legale contrare. In caz de opozitie justificata prelucrarea nu mai poate viza datele in cauza.

5.6.5. Dreptul de a nu fi supus unei decizii individuale

(1) Orice persoana are dreptul de a cere si de a obtine retragerea/ anularea/ reevaluarea oricarei decizii care produce efecte juridice in privinta sa, adoptata exclusiv pe baza unei prelucrari de date cu caracter personal, efectuata prin mijloace automate, destinata sa evalueze unele aspecte ale personalitatii sale, precum competenta profesionala, credibilitatea, comportamentul sau ori alte asemenea aspecte.

(2) Respectandu-se celelalte garantii prevazute de lege, o persoana poate fi supusa unei decizii de natura celei vizate la al. (1), numai in urmatoarele situatii:

1. a) decizia este luata in cadrul incheierii sau executarii unui contract, cu conditia ca cererea de incheiere sau de executare a contractului, introdusa de persoana vizata, sa fi fost satisfacuta sau ca unele masuri adecvate, precum posibilitatea de a-si sustine punctul de vedere, sa garanteze apararea propriului interes legitim;
2. b) decizia este autorizata de o lege care precizeaza masurile ce garanteaza apararea interesului legitim al persoanei vizate.

5.6.6. Dreptul de a se adresa justitiei

(1) Fara a se aduce atingere posibilitatii de a se adresa cu plangere autoritatii de supraveghere, persoanele vizate au dreptul de a se adresa justitiei pentru apararea oricaror drepturi garantate de lege, care le-au fost incalcate.

(2) Orice persoana care a suferit un prejudiciu in urma unei prelucrari de date cu caracter personal, efectuata ilegal, se poate adresa instantei competente pentru repararea acestuia.

5.7. Comunicarea datelor cu caracter personal

(1) Datele cu caracter personal se pot comunica intre S.C. MBA EVAL CONSULT S.R.L. si imputernicitii acestuia sau intre S.C. MBA EVAL CONSULT S.R.L. sau imputerniciti ai acestuia si alte institutii ori organisme publice sau entitati de drept public sau privat in una dintre urmatoarele situatii:

1. a) daca persoana vizata si-a dat consimtamantul expres si neechivoc pentru comunicarea datelor sale;
2. b) fara consimtamantul persoanei vizate in cazurile prevazute de lege.

(2) Comunicarea datelor cu caracter personal in situatiile prevazute la alin. (1) se poate face daca este indeplinita una dintre urmatoarele conditii:

1. a) comunicarea se efectueaza pe baza unui contract sau, dupa caz, a unui document de cooperare care trebuie sa cuprinda cel putin: numarul de inregistrare a notificarii, temeiul legal al prelucrarii si scopul acesteia, termenul maxim de prelucrare, drepturile si obligatiile partilor, modalitatile de asigurare a securitatii prelucrarilor si de respectare a drepturilor persoanei vizate, precum si mentiunea ca datele pot fi utilizate doar de structura beneficiara si numai in scopul pentru care au fost solicitate;
2. b) comunicarea se efectueaza in baza unei solicitari scrise, care trebuie sa cuprinda temeiul legal, scopul prelucrarii si datele solicitate, precum si, daca este cazul, numarul atribuit beneficiarului de Autoritatea nationala de supraveghere.

(3) Comunicarea datelor cu caracter personal se poate face si on-line, cu respectarea dispozitiilor alin. (1) si (2) si asigurarea securitatii sistemelor de comunicatii a datelor cu caracter personal.

(4) Datele cu caracter personal asupra carora persoanele vizate au exercitat si li s-a recunoscut dreptul de opozitie nu pot face obiectul prelucrarii.

(5) Cererile pentru comunicarea datelor cu caracter personal adresate S.C. MBA EVAL CONSULT S.R.L. trebuie sa contina datele de identificare a solicitantului, precum si motivarea si scopul cererii, conform prevederilor legale.

(6) Cererile care nu contin aceste elementele se restituie pentru completare, iar cele care nu se incadreaza in conditiile prevazute de lege se resping, mentionandu-se motivele pentru care comunicarea datelor cu caracter personal nu este posibila.

(7) Inainte de comunicarea datelor cu caracter personal, S.C. MBA EVAL CONSULT S.R.L. verifica daca acestea sunt exacte si, daca este cazul, actualizate.

(8) In situatia in care se constata ca au fost transmise date incorecte sau neactualizate, S.C. MBA EVAL CONSULT S.R.L. are obligatia de a informa destinatarii respectivelor date asupra neconformitatii acestora, cu mentionarea datelor care au fost modificate.

(9) La comunicarea datelor cu caracter personal S.C. MBA EVAL CONSULT S.R.L. atentioneaza destinatarii asupra interdictiei de a prelucra datele pentru alte scopuri decat cele specificate in cererea de comunicare.

5.8. Masuri tehnice privind prelucrarea datelor cu caracter personal

Toate documentele care contin date cu caracter personal se inregistreaza si urmeaza regulile de pastrare, procesare, multiplicare, transport, transmitere, distrugere si arhivare stabilite prin Legea Arhivelor nationale si prin proceduri interne.