GDPR es la abreviatura de General Data Protection Regulation, que se traduce como Reglamento General de Protección de Datos. Este es un acto oficial de la Unión Europea (Reglamento UE 679/2016) cuyo objetivo es garantizar la protección de los derechos fundamentales del ser humano en el contexto de la transferencia y el procesamiento de datos personales de personas físicas. En concreto, las disposiciones del Reglamento se aplican en situaciones en las que, para ciertas actividades, las personas físicas deben proporcionar a una institución, a una persona jurídica o a otra persona física ciertos datos personales (nombre, apellidos, dirección, fecha de nacimiento y otros similares).
El procesamiento de datos personales significa cualquier operación relacionada con estos datos. Por lo tanto, la recopilación, el almacenamiento, la adaptación, la modificación o la eliminación de dichos datos, así como otras operaciones previstas por la ley, entran dentro del ámbito del Reglamento GDPR.
Existe una categoría de datos personales que se consideran sensibles. Estos incluyen información sobre: raza, etnia, creencias religiosas y políticas, vida sexual de una persona, estado de salud, así como datos genéticos y biométricos procesados con el fin de identificar a una persona.
En principio, el procesamiento de estos datos está prohibido, pero en ciertas situaciones está permitido. Estos casos incluyen cuando la persona interesada ha dado su consentimiento para el procesamiento de estos datos, cuando dicho procesamiento es absolutamente necesario para proteger los derechos e intereses vitales de la persona en cuestión, su seguridad social en contextos laborales. También pueden procesar estos datos fundaciones y organizaciones sin fines de lucro o cuando dichos datos han sido hechos públicos por la propia persona interesada.
En lo que respecta al procesamiento de datos personales, los operadores tienen la obligación de informar a las personas cuyos datos están siendo procesados sobre quién los procesa y en qué calidad, con qué propósito, a quién serán divulgados y por qué, así como proporcionar los datos de contacto del responsable del procesamiento de datos.
En Rumanía, hay ciertas situaciones en las que el reglamento no se aplica. En primer lugar, se trata de actividades que no tienen ninguna relación con los objetivos de la Unión Europea y que tampoco están sujetas a regulaciones del derecho comunitario. Asimismo, las disposiciones del Reglamento GDPR no se aplican a actividades relacionadas con la vigilancia, la prevención o la sanción de ciertos delitos en investigaciones llevadas a cabo por las autoridades estatales. Finalmente, las disposiciones del GDPR tampoco se aplican en situaciones entre particulares que están estrictamente relacionadas con su vida privada, como en el caso de actividades domésticas.
GDPR – Ley en Rumanía
En Rumanía, las disposiciones del Reglamento UE 679/2016 fueron transpuestas en la legislación nacional mediante la Ley 190/2018 sobre medidas para la aplicación del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 sobre la protección de las personas físicas con respecto al procesamiento de datos personales y sobre la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos).
Esta ley prevé algunas excepciones, es decir, ciertas situaciones en las que las disposiciones del reglamento o parte de ellas no se aplican. Así, en el caso de trabajos artísticos, literarios, académicos o periodísticos, se pueden utilizar datos personales ya hechos públicos por la persona interesada. El procesamiento de datos personales con fines de investigación científica o histórica, con fines estadísticos o con fines de archivo en interés público está exento del régimen general en ciertas condiciones, en el sentido de que no se aplican todas las disposiciones del Reglamento, sino solo algunas de ellas.
De acuerdo con el Reglamento de la UE y la Ley 190/2018, cada operador debe designar un responsable de protección de datos. Esta persona tiene la obligación de monitorear toda la actividad de procesamiento de datos, asegurarse de que se realice de acuerdo con las disposiciones legales en la materia y también asesorar al operador sobre cualquier operación que implique el procesamiento de datos personales.
Incumplimiento del GDPR en Rumanía
El incumplimiento del GDPR ocurre cuando, accidental o ilegalmente, los datos personales de personas, empresas o sociedades de cualquier tipo dejan de estar protegidos, lo que genera el riesgo de violación de su confidencialidad. En tales situaciones, los operadores responsables del procesamiento de estos datos deben notificar a la autoridad de supervisión en un plazo máximo de 72 horas desde que se haya detectado el incidente. Si no se han tomado medidas rápidas y efectivas para eliminar los riesgos, los operadores deben informar a sus clientes sobre la situación.
Cualquier persona que detecte o considere que sus derechos de confidencialidad de datos personales han sido violados puede presentar una queja ante la APD (Autoridad de Protección de Datos). En caso de que la queja no se resuelva correctamente, se podrá presentar una demanda contra la autoridad. Además, si sus datos han sido vulnerados y sabe quién es el responsable (por ejemplo, si tiene un reloj digital que registra su actividad física y observa que sus datos se han mezclado con los de otra persona), puede acudir directamente a los tribunales contra el operador responsable del incidente. En estos casos, el tribunal resolverá el caso y tomará las medidas necesarias.
El último capítulo de la Ley 190/2018 en Rumanía establece las sanciones aplicables a los operadores que no respeten las disposiciones en materia de protección de datos. Estas sanciones se aplican, por lo tanto, en situaciones en las que los operadores son responsables de cualquier tipo de violación de la seguridad y confidencialidad de los datos. De acuerdo con las disposiciones de la Ley, la violación de las obligaciones por parte del operador o del responsable designado, así como la violación de los principios del Reglamento y los derechos de cualquier persona, constituyen una infracción administrativa. Las sanciones principales son la advertencia y la multa administrativa.
En el caso de las autoridades y organismos públicos, la Autoridad Nacional de Supervisión emite un acta de constatación y sanción de la infracción. El incumplimiento de las decisiones emitidas por esta autoridad también constituye una infracción.
