Art. 3 Legea 506/2004 — Securitatea prelucrării datelor cu caracter personal

Istoricul articolului

Versiunile anterioare ale art. 3 și actele care l-au modificat, de la cea mai recentă.

1. 26.04.2012 – prezentmodificat prin OUG 13/2012

   Măsuri de securitateSecuritatea prelucrării datelor cu caracter personal

   (1) Furnizorul unui serviciu de comunicații electronice destinat publicului are obligația de a lua toate măsurilemăsuri tehnice și organizatorice adecvate în vederea garantării securității serviciului. În ceea ce privește securitatea rețelei, dacăasigurării securității prelucrării datelor cu caracter personal. Dacă este necesar, furnizorul serviciului de comunicații electronice va lua măsurile de securitate respectivedestinate publicului va lua aceste măsuri împreună cu furnizorul rețelei publice de comunicații electronice. Măsurile adoptate trebuie să garanteze

   (2) Măsurile adoptate potrivit alin. (1) trebuie să asigure un nivel de securitate proporțional cu riscul existent, având în vedere posibilitățile tehnice de ultimă oră și costurile implementării acestor măsuri.

   (2) (3) Fără a aduce atingere prevederilor Legii nr. 677/2001, cu modificările și completările ulterioare, măsurile adoptate potrivit alin. (1) trebuie să respecte cel puțin următoarele condiții:

   a) să garanteze că datele cu caracter personal pot fi accesate numai de persoane autorizate, în scopurile autorizate de lege;

   b) să protejeze datele cu caracter personal stocate sau transmise împotriva distrugerii accidentale ori ilicite, împotriva pierderii sau deteriorării accidentale și împotriva stocării, prelucrării, accesării ori divulgării ilicite;

   c) să asigure punerea în aplicare a politicii de securitate elaborate de furnizor în ceea ce privește prelucrarea datelor cu caracter personal.

   (4) Autoritatea Națională de Reglementare în Comunicații, Supraveghere a Prelucrării Datelor cu Caracter Personal, denumită în continuare ANRC, stabilește condițiile în care furnizorii trebuie să își îndeplinească obligația prevăzută la alin. (1).ANSPDCP, poate audita măsurile luate de furnizori în conformitate cu alin. (1) și poate emite recomandări cu privire la cele mai bune practici privind nivelul de securitate care trebuie atins de aceste măsuri.

   (3)(5) În cazul existenței unui risc determinat de încălcare a securității rețelei, furnizorul unui serviciu de comunicații electronice destinat publicului este obligat:

   a) să informeze abonații asupra existenței încălcarea securității datelor cu caracter personal, furnizorii de servicii de comunicații electronice destinate publicului au obligația de a informa abonații cu privire la existența acestui risc, precum și asupra posibilelor consecințe ce decurg;la posibilele consecințe ce decurg. În cazul în care acest risc depășește domeniul de aplicare a măsurilor pe care le pot lua furnizorii, aceștia au obligația de a informa abonații despre remediile posibile, inclusiv prin indicarea costurilor implicate.

   b) să informeze abonații asupra posibilităților de remediere;(6) În cazul unei încălcări a securității datelor cu caracter personal, furnizorii de servicii de comunicații electronice destinate publicului vor notifica ANSPDCP, fără întârziere, la respectiva încălcare.

   (7) Atunci când încălcarea securității datelor cu caracter personal ar putea aduce atingere datelor cu caracter personal sau vieții private a unui abonat ori a unei alte persoane, furnizorul va notifica respectiva încălcare, fără întârziere, abonatului sau persoanei în cauză.

   (8) Notificarea prevăzută la alin. (7) nu este necesară dacă furnizorul a demonstrat ANSPDCP, într-un mod pe care aceasta îl consideră satisfăcător, că a aplicat măsuri tehnologice de protecție adecvate și că respectivele măsuri au fost aplicate datelor afectate de încălcarea securității. Astfel de măsuri tehnologice de protecție trebuie să asigure faptul că datele devin neinteligibile persoanelor care nu sunt autorizate să le acceseze.

   (9) Fără a aduce atingere obligației furnizorului de a notifica abonaților și persoanelor în cauză, în cazul în care furnizorul nu a notificat deja abonatului sau persoanei în cauză încălcarea securității datelor cu caracter personal, ANSPDCP poate, după analizarea posibilelor efecte negative ale încălcării, să îi solicite să facă acest lucru.

   c) să informeze abonații asupra costurilor probabile privind înlăturarea riscului.(10) Notificarea prevăzută la alin. (7) va cuprinde cel puțin o descriere a naturii încălcării securității datelor cu caracter personal și punctele de contact ale furnizorului unde pot fi obținute mai multe informații și va recomanda măsuri de atenuare a posibilelor efecte negative ale acestei încălcări. Notificarea prevăzută la alin. (6) va conține și o descriere a consecințelor încălcării securității datelor cu caracter personal, precum și a măsurilor propuse sau adoptate de furnizor în vederea remedierii acestora.

   (11) Sub rezerva oricăror măsuri tehnice de punere în aplicare adoptate de Comisia Europeană, ANSPDCP poate să stabilească circumstanțele în care furnizorii sunt obligați să notifice încălcări ale securității datelor cu caracter personal, formatul unei astfel de notificări și modalitățile în care se va face notificarea.

   (12) Furnizorii au obligația de a păstra o evidență a tuturor încălcărilor securității datelor cu caracter personal, care trebuie să cuprindă o descriere a situației în care a avut loc încălcarea, a efectelor acesteia și a măsurilor de remediere întreprinse, astfel încât ANSPDCP să poată verifica dacă au fost respectate obligațiile ce incumbă furnizorilor potrivit prezentului articol. Evidența va include numai informațiile necesare în acest scop.

2. 17.11.2004 – 26.04.2012text inițial

   Măsuri de securitate

   (1) Furnizorul unui serviciu de comunicații electronice destinat publicului are obligația de a lua toate măsurile tehnice și organizatorice adecvate în vederea garantării securității serviciului. În ceea ce privește securitatea rețelei, dacă este necesar, furnizorul serviciului de comunicații electronice va lua măsurile de securitate respective împreună cu furnizorul rețelei publice de comunicații electronice. Măsurile adoptate trebuie să garanteze un nivel de securitate proporțional cu riscul existent, având în vedere posibilitățile tehnice de ultimă oră și costurile implementării acestor măsuri.

   (2) Autoritatea Națională de Reglementare în Comunicații, denumită în continuare ANRC, stabilește condițiile în care furnizorii trebuie să își îndeplinească obligația prevăzută la alin. (1).

   (3) În cazul existenței unui risc determinat de încălcare a securității rețelei, furnizorul unui serviciu de comunicații electronice destinat publicului este obligat:

   a) să informeze abonații asupra existenței acestui risc, precum și asupra posibilelor consecințe ce decurg;

   b) să informeze abonații asupra posibilităților de remediere;

   c) să informeze abonații asupra costurilor probabile privind înlăturarea riscului.