Decizia CCR nr. 737/2018Punctul 30

30. Obiectul controlului de constituționalitate îl constituie dispozițiile Legii privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, descoperirii, cercetării, urmăririi penale și combaterii infracțiunilor sau al executării pedepselor, măsurilor educative și de siguranță, precum și privind libera circulație a acestor date, în ansamblul său, precum și, în special, dispozițiile art. 12 alin. (1) -(5) , art. 13, art. 14, art. 15 alin. (1) -(5) și art. 16 din aceasta, care au următorul cuprins: + Articolul 12 (1) Operatorii sunt obligați să instituie măsurile organizatorice, tehnice și de procedură pentru a furniza persoanei vizate informațiile necesare potrivit prevederilor art. 13 și art. 16-21 și pentru a asigura transmiterea unui răspuns în legătură cu prelucrările desfășurate în condițiile prevăzute la art. 11 sau în legătură cu notificarea persoanelor vizate în cazul apariției unui incident de securitate, în condițiile prevederilor art. 39. (2) Răspunsul trebuie formulat într-o formă concisă, inteligibilă și ușor accesibilă, utilizând un limbaj clar și simplu. (3) Comunicarea informațiilor în condițiile prevăzute la alin. (2) se realizează în același format în care cererea a fost formulată, cu următoarele excepții: a) identitatea solicitantului nu poate fi stabilită cu exactitate, în condițiile prevăzute la alin. (10) ; ... b) formatul ales pentru transmiterea cererii presupune riscuri de prelucrare neautorizată sau ilegală ori de pierdere, distrugere sau deteriorare accidentală, prin raportare la cantitatea de date cu caracter personal, gradul de sensibilitate al informației, în special în situația categoriilor de date prevăzute la art. 10 ori a datelor referitoare la minori. ... (4) Operatorul este obligat să instituie măsuri organizatorice și de procedură în scopul facilitării exercitării drepturilor persoanei vizate în temeiul prevederilor art. 11 și art. 16-21. (5) Operatorul are obligația de a informa persoana vizată, în scris, cu privire la modul de soluționare a cererilor formulate în temeiul prezentei legi. Răspunsul se transmite în mod gratuit, în cel mult 60 de zile calendaristice. […] + Articolul 13 Operatorii sunt obligați să instituie măsuri organizatorice, tehnice și de procedură în scopul punerii la dispoziția persoanelor interesate, a următoarelor categorii de informații: a) identitatea și datele de contact ale operatorului; ... b) datele de contact ale responsabilului cu protecția datelor, după caz; ... c) scopurile în care sunt prelucrate datele cu caracter personal; ... d) dreptul de a depune o plângere la autoritatea de supraveghere și datele de contact ale acesteia; ... e) dreptul de a solicita operatorului acces la datele cu caracter personal referitoare la persoana vizată ori rectificarea sau ștergerea acestor date sau restricționarea prelucrării lor. ... + Articolul 14 La cerere, atunci când legea nu prevede altfel, operatorul comunică persoanei vizate informațiile prevăzute la art. 13, precum și următoarele informații suplimentare: a) temeiul juridic al prelucrării; ... b) perioada pentru care sunt stocate datele cu caracter personal sau, în cazul în care nu este posibil, criteriile utilizate pentru a stabili perioada respectivă; ... c) dacă este cazul, categoriile de destinatari ai datelor cu caracter personal, inclusiv din state terțe sau organizații internaționale; ... d) orice alte informații suplimentare, în funcție de specificul activităților de prelucrare, în special atunci când datele cu caracter personal sunt colectate fără știrea persoanei vizate. ... + Articolul 15 (1) Operatorul poate dispune, după caz, măsura amânării, restricționării sau omiterii furnizării de informații persoanei vizate în condițiile prevăzute la art. 14 numai dacă, ținând seama de drepturile fundamentale și interesele legitime ale persoanei vizate, o astfel de măsură este necesară și proporțională într-o societate democratică pentru: a) evitarea obstrucționării bunei desfășurări a procesului penal; ... b) evitarea prejudicierii, prevenirii, descoperirii, cercetării, urmăririi penale și combaterii infracțiunilor sau a executării pedepselor; ... c) protejarea ordinii și siguranței publice; ... d) protejarea securității naționale; ... e) protejarea drepturilor și libertăților celorlalți. ... (2) Măsura amânării furnizării de informații se dispune pe o perioadă ce nu poate depăși un an, în situația în care incidența condițiilor care fac imposibilă comunicarea este limitată în timp. Măsura amânării poate fi prelungită în interiorul termenului de un an. La împlinirea termenului pentru care măsura amânării furnizării de informații a fost dispusă, operatorul transmite informațiile prevăzute de lege. (3) Persoana vizată este informată în scris, în cel mult 60 de zile calendaristice de la înregistrarea solicitării, cu privire la măsura amânării furnizării de informații și motivul dispunerii acesteia, cu privire la termenul pentru care a fost dispusă această măsură, precum și cu privire la faptul că se poate adresa autorității de supraveghere, cu plângere împotriva deciziei operatorului, sau poate ataca în instanță decizia operatorului. (4) Măsura restricționării furnizării de informații se dispune în situația în care incidența condițiilor care fac imposibilă comunicarea nu este limitată în timp. În situația restricționării furnizării de informații, operatorul transmite persoanei vizate un răspuns. Forma și conținutul răspunsului sunt stabilite de fiecare operator în parte. (5) Măsura omisiunii furnizării de informații se dispune în situația în care chiar și simpla informare a persoanei vizate cu privire la una sau mai multe operațiuni de prelucrare este de natură să afecteze una dintre activitățile prevăzute la alin. (1) lit. a) -d) […]. + Articolul 16 (1) Persoana vizată are dreptul de a obține de la operator, la cerere și în mod gratuit, confirmarea faptului că datele cu caracter personal care o privesc sunt sau nu sunt prelucrate de acesta. (2) Operatorul este obligat, în situația în care prelucrează date cu caracter personal care privesc persoana vizată, să comunice acesteia, în termen de cel mult 60 de zile calendaristice de la înregistrarea solicitării, în condițiile prevăzute la art. 12 alin. (2) și (3) , pe lângă confirmare, inclusiv datele cu caracter personal care fac obiectul prelucrării, precum și următoarele informații: a) scopurile și temeiul juridic al prelucrării; ... b) categoriile de date cu caracter personal vizate; ... c) destinatarii sau categoriile de destinatari cărora le-au fost divulgate datele cu caracter personal, în special destinatarii din state terțe sau organizații internaționale; ... d) acolo unde este posibil, perioada pentru care se preconizează că vor fi stocate datele cu caracter personal sau, în cazul în care acest lucru nu este posibil, criteriile utilizate pentru a stabili această perioadă; ... e) dreptul de a solicita de la operator rectificarea sau ștergerea datelor cu caracter personal sau restricționarea prelucrării datelor cu caracter personal referitoare la persoana vizată; ... f) dreptul de a depune o plângere la autoritatea de supraveghere și datele de contact ale acesteia; ... g) comunicarea datelor cu caracter personal care sunt în curs de prelucrare și a oricărei informații disponibile cu privire la originea datelor cu caracter personal. ... ...