LEGE nr. 363 din 28 decembrie 2018

(1) Prezenta lege reglementează prelucrarea datelor cu caracter personal în scopul realizării activităților de prevenire, descoperire, cercetare, urmărire penală și combatere a infracțiunilor, de executare a pedepselor, măsurilor educative și de siguranță, precum și de menținere și asigurare a ordinii și siguranței publice de către autoritățile competente, în limitele competențelor stabilite prin lege.

(2) Prelucrarea datelor cu caracter personal pentru realizarea activităților de menținere și asigurare a ordinii și siguranței publice se realizează numai dacă acestea sunt prevăzute de lege și sunt necesare pentru prevenirea unui pericol cel puțin asupra vieții, integrității corporale sau sănătății unei persoane ori a proprietății acesteia, precum și pentru combaterea infracțiunilor.

(1) Prezenta lege are ca scop protejarea drepturilor și libertăților fundamentale ale persoanelor fizice, în special a dreptului la protecția datelor cu caracter personal.

(2) Prezenta lege stabilește condițiile în care se realizează libera circulație a datelor cu caracter personal în scopul realizării activităților prevăzute la art. 1.

(3) Libera circulație a datelor cu caracter personal pe teritoriul național sau în relația cu statele membre ale Uniunii Europene, circumscrisă realizării activităților prevăzute la art. 1, nu poate fi împiedicată din motive legate de protecția persoanei față de prelucrările de date cu caracter personal atât timp cât condițiile din prezenta lege sau, după caz, din Regulamentul UE 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor), denumit în continuare Regulamentul general privind protecția datelor, ori din legislația națională de punere în aplicare a acestuia sunt îndeplinite.

(1) Prezenta lege se aplică prelucrării datelor cu caracter personal de către autoritățile competente în scopurile prevăzute la art. 1.

(2) Prezenta lege se aplică prelucrării datelor cu caracter personal realizate integral sau parțial prin mijloace automatizate, precum și prelucrării, prin alte mijloace decât cele automatizate, a datelor cu caracter personal care fac parte dintr-un sistem de evidență a datelor sau care sunt destinate să fie incluse într-un asemenea sistem.

(3) Prezenta lege nu se aplică prelucrărilor de date cu caracter personal efectuate pentru realizarea activităților din domeniul apărării naționale și securității naționale, în limitele și cu restricțiile stabilite prin legislația în materie.

(1) Datele cu caracter personal trebuie să fie:

(2) Datele cu caracter personal pot fi prelucrate pentru realizarea activităților prevăzute la art. 1 de către același operator sau de către alt operator într-un alt scop decât cel avut în vedere la momentul colectării datelor cu caracter personal, numai dacă sunt îndeplinite cumulativ următoarele condiții:

(3) Datele cu caracter personal pot fi prelucrate de către același operator sau de către alt operator în scopul arhivării în interes public sau în scopuri științifice, statistice sau istorice legate de realizarea activităților prevăzute la art. 1 alin. (1), cu condiția instituirii unor garanții adecvate pentru drepturile și libertățile persoanelor vizate.

(4) Operatorul este responsabil pentru respectarea prevederilor alin. (1)-(3) și adoptă măsuri și/sau instituie proceduri pentru a demonstra respectarea acestor prevederi.

(1) Actele normative, indiferent de nivelul de legiferare, care instituie prelucrări de date cu caracter personal în scopul realizării activităților prevăzute la art. 1, trebuie să stabilească cel puțin următoarele aspecte:

(2) Stabilirea termenelor specifice de păstrare este obligatorie în următoarele situații:

(3) Termenele specifice de stocare nu pot fi mai mari decât jumătate din termenul general de stocare corespunzător scopului prelucrării.

(4) La împlinirea termenelor de stocare, datele cu caracter personal pot fi:

(5) Prelucrările de date cu caracter personal bazate pe utilizarea noilor tehnologii sau care sunt de natură să genereze un risc ridicat pentru drepturile și libertățile persoanelor fizice pot fi instituite în scopul realizării activităților prevăzute la art. 1 numai în temeiul unui act normativ publicat în Monitorul Oficial al României, Partea I, care să stabilească garanții necesar a fi instituite în temeiul prezentei legi.

(1) Operatorii dispun măsurile necesare în scopul evidențierii în mod distinct și structurării datelor cu caracter personal, având în vedere următoarele criterii:

(2) Datele cu caracter personal prelucrate în temeiul prezentei legi sunt ordonate în funcție de gradul lor de acuratețe și exactitate. În acest scop, operatorii dispun măsurile necesare pentru realizarea unei distincții între date colectate ca urmare a constatării unor fapte, respectiv date a căror colectare se bazează pe percepția subiectivă a unor persoane fizice.

(3) Operatorii dispun toate măsurile necesare pentru ca datele cu caracter personal inexacte, incomplete sau care nu sunt actualizate să nu fie transmise sau puse la dispoziția destinatarului.

(4) Măsurile prevăzute la alin. (3) includ și evaluări periodice în scopul asigurării calității datelor cu caracter personal prin raportare la scopul în care au fost colectate și sunt ulterior prelucrate.

(5) Termenele de evaluare sunt stabilite prin acte administrative adoptate de către operatori, cărora li se asigură o formă de publicitate. Frecvența evaluărilor este determinată de scopul în care datele cu caracter personal au fost colectate, calitatea datelor la momentul colectării, cantitatea datelor, dacă sunt prelucrate categorii speciale de date cu caracter personal. În cazul sistemelor automatizate de evidență, termenele de evaluare nu pot depăși 2 ani de la momentul colectării, respectiv de la precedenta evaluare.

(6) Evaluarea calității datelor cu caracter personal este obligatorie înainte ca datele cu caracter personal să fie transmise sau puse la dispoziție altui operator.

(7) În situația transmiterii de date cu caracter personal, în scopul asigurării calității datelor, operatorul poate adăuga informații care să permită autorității competente destinatare să evalueze:

(8) În situația unei transmiteri neconforme cu legislația în vigoare a unor date cu caracter personal sau în cazul în care se constată că datele cu caracter personal nu au calitatea necesară, operatorul este obligat să notifice de îndată destinatarul. Datele care au făcut obiectul transmiterii sunt, după caz:

(9) Restricționarea prelucrării datelor cu caracter personal prevăzută la alin. (8) se dispune doar în una dintre situațiile prevăzute la art. 18 alin. (4).

(1) Datele cu caracter personal colectate în scopul prevăzut la art. 1 nu pot fi prelucrate în alte scopuri, cu excepția cazurilor prevăzute în mod expres de lege.

(2) În situațiile excepționale prevăzute la alin. (1), prelucrările suplimentare de date cu caracter personal se realizează în conformitate cu dispozițiile Regulamentului general privind protecția datelor, cu excepția activităților prevăzute la art. 3 alin. (2), situație în care se aplică dispozițiile corespunzătoare cuprinse în legi speciale.

(3) Datele cu caracter personal colectate de către autoritățile competente în alte scopuri decât cele necesare îndeplinirii activităților prevăzute la art. 1 alin. (1) sunt prelucrate în conformitate cu dispozițiile Regulamentului general privind protecția datelor, cu excepția activităților prevăzute la art. 3 alin. (2), situație în care se aplică dispozițiile corespunzătoare cuprinse în legi speciale.

(4) Dispozițiile alin. (3) se aplică inclusiv pentru prelucrarea datelor cu caracter personal în scopuri de arhivare în interes public, în scopuri de cercetare științifică sau istorică ori în scopuri statistice.

(1) În situația prelucrării datelor cu caracter personal sub forma transferului către destinatari, autoritatea competentă care transferă datele cu caracter personal are obligația de a informa destinatarul datelor cu caracter personal cu privire la condițiile specifice de prelucrare și obligația de a le respecta, în măsura în care astfel de condiții sunt impuse de lege.

(2) Destinatarul datelor cu caracter personal are obligația respectării condițiilor specifice de prelucrare comunicate în conformitate cu prevederile alin. (1).

(3) În situația transferului de date cu caracter personal către destinatari din state membre ale Uniunii Europene sau către agenții, oficii și organisme instituite în conformitate cu titlul V capitolele 4 și 5 din Tratatul privind funcționarea Uniunii Europene, nu pot fi impuse condiții specifice de prelucrare, în conformitate cu prevederile alin. (1), suplimentare față de cele prevăzute de lege pentru transferul către autorități competente din România.

(1) Adoptarea unei decizii întemeiate exclusiv pe prelucrarea automată, inclusiv crearea de profiluri, care produce un efect juridic negativ pentru persoana vizată sau care o afectează în mod semnificativ este interzisă, cu excepția cazului în care prelucrarea este reglementată expres de lege, fiind prevăzute garanții adecvate pentru drepturile și libertățile persoanei vizate, inclusiv dreptul de a obține intervenția umană din partea operatorului.

(2) Prelucrarea categoriilor de date cu caracter personal prevăzute la art. 10 în scopul adoptării de decizii în condițiile prevăzute la alin. (1) este interzisă, cu excepția situației în care sunt instituite măsuri corespunzătoare pentru protejarea drepturilor, a libertăților și a intereselor legitime ale persoanei vizate.

(3) Crearea de profiluri care au drept rezultat discriminarea persoanelor fizice pe baza criteriilor ce determină categoriile de date prevăzute la art. 10 este interzisă.

(1) Operatorii sunt obligați să instituie măsurile organizatorice, tehnice și de procedură pentru a furniza persoanei vizate informațiile necesare potrivit prevederilor art. 13 și art. 16-21 și pentru a asigura transmiterea unui răspuns în legătură cu prelucrările desfășurate în condițiile prevăzute la art. 11 sau în legătură cu notificarea persoanelor vizate în cazul apariției unui incident de securitate, în condițiile prevederilor art. 39.

(2) Răspunsul trebuie formulat într-o formă concisă, inteligibilă și ușor accesibilă, utilizând un limbaj clar și simplu.

(3) Comunicarea informațiilor în condițiile prevăzute la alin. (2) se realizează în același format în care cererea a fost formulată, cu următoarele excepții:

(4) Operatorul este obligat să instituie măsuri organizatorice și de procedură în scopul facilitării exercitării drepturilor persoanei vizate în temeiul prevederilor art. 11 și art. 16-21.

(5) Operatorul are obligația de a informa persoana vizată, în scris, cu privire la modul de soluționare a cererilor formulate în temeiul prezentei legi. Răspunsul se transmite în mod gratuit, în cel mult 60 de zile calendaristice.

(6) În cazul în care cererile din partea unei persoane vizate sunt în mod vădit nefondate sau excesive, în special din cauza caracterului lor repetitiv, operatorul poate:

(7) Cuantumul taxei prevăzute la alin. (6) lit. a) va fi stabilit, respectiv actualizat prin act administrativ emis la nivelul operatorului.

(8) Caracterul nefondat sau excesiv al cererii se stabilește de la caz la caz, în funcție de următoarele criterii:

(9) Caracterul nefondat sau excesiv al cererii, în condițiile prevăzute la alin. (6), trebuie demonstrat de operator.

(10) În cazul în care identitatea persoanei care formulează o cerere în temeiul prevederilor art. 16 sau 18 nu a putut fi stabilită cu exactitate, operatorul îi solicită acesteia informații suplimentare necesare pentru confirmarea identității.

(11) Informațiile suplimentare colectate potrivit prevederilor alin. (10) nu pot fi prelucrate în niciun alt scop decât pentru confirmarea identității și se distrug în termen de 3 ani de la colectare. Operatorul poate stabili termene de păstrare mai mici.

(1) Operatorul poate dispune, după caz, măsura amânării, restricționării sau omiterii furnizării de informații persoanei vizate în condițiile prevăzute la art. 14 numai dacă, ținând seama de drepturile fundamentale și interesele legitime ale persoanei vizate, o astfel de măsură este necesară și proporțională într-o societate democratică pentru:

(2) Măsura amânării furnizării de informații se dispune pe o perioadă ce nu poate depăși un an, în situația în care incidența condițiilor care fac imposibilă comunicarea este limitată în timp. Măsura amânării poate fi prelungită în interiorul termenului de un an. La împlinirea termenului pentru care măsura amânării furnizării de informații a fost dispusă, operatorul transmite informațiile prevăzute de lege.

(3) Persoana vizată este informată în scris, în cel mult 60 de zile calendaristice de la înregistrarea solicitării, cu privire la măsura amânării furnizării de informații și motivul dispunerii acesteia, cu privire la termenul pentru care a fost dispusă această măsură, precum și cu privire la faptul că se poate adresa autorității de supraveghere cu plângere împotriva deciziei operatorului sau poate ataca în instanță decizia operatorului.

(4) Măsura restricționării furnizării de informații se dispune în situația în care incidența condițiilor care fac imposibilă comunicarea nu este limitată în timp. În situația restricționării furnizării de informații, operatorul transmite persoanei vizate un răspuns. Forma și conținutul răspunsului sunt stabilite de fiecare operator în parte.

(5) Măsura omisiunii furnizării de informații se dispune în situația în care chiar și simpla informare a persoanei vizate cu privire la una sau mai multe operațiuni de prelucrare este de natură să afecteze una dintre activitățile prevăzute la alin. (1) lit. a)-d).

(6) Omisiunea furnizării de informații poate să fie parțială sau totală. În situația omisiunii parțiale, persoana vizată este informată, în termen de cel mult 60 de zile calendaristice de la înregistrarea solicitării, cu privire la categoriile de prelucrări care nu sunt de natură a afecta activitățile prevăzute la alin. (1). În situația omisiunii totale, operatorul transmite persoanei vizate un răspuns. Forma și conținutul răspunsului sunt stabilite de fiecare operator în parte.

(7) Operatorul este obligat să țină evidența situațiilor în care a fost dispusă măsura omiterii furnizării de informații și să documenteze adoptarea acestei măsuri.

(8) În luna ianuarie a fiecărui an, operatorul are obligația de a informa autoritatea de supraveghere cu privire la situația statistică a măsurilor de omisiune a furnizării de informații adoptate în anul precedent, defalcat pentru fiecare dintre activitățile prevăzute la alin. (1) lit. a)-d).

(1) Persoana vizată are dreptul de a obține de la operator, la cerere și în mod gratuit, confirmarea faptului că datele cu caracter personal care o privesc sunt sau nu sunt prelucrate de acesta.

(2) Operatorul este obligat, în situația în care prelucrează date cu caracter personal care privesc persoana vizată, să comunice acesteia, în termen de cel mult 60 de zile calendaristice de la înregistrarea solicitării, în condițiile prevăzute la art. 12 alin. (2) și (3), pe lângă confirmare, inclusiv datele cu caracter personal care fac obiectul prelucrării, precum și următoarele informații:

(1) Dispozițiile art. 16 nu se aplică dacă, ținând seama de drepturile fundamentale și interesele legitime ale persoanei fizice, o astfel de măsură este necesară și proporțională într-o societate democratică pentru:

(2) Măsura limitării dreptului de acces poate să fie totală sau parțială și se dispune cu privire la una sau mai multe operațiuni de prelucrare în situația cărora dezvăluirea este de natură să afecteze una dintre activitățile prevăzute la alin. (1).

(3) În situația prevăzută la alin. (2), persoana vizată poate fi informată cu privire la categoriile de prelucrări care nu sunt de natură a afecta activitățile prevăzute la alin. (1), motivul adoptării acestei măsuri, precum și cu privire la posibilitatea de a depune o plângere la autoritatea de supraveghere sau de a se adresa instanței.

(4) Prin excepție de la dispozițiile alin. (3), motivul adoptării măsurii de limitare a dreptului de acces nu se comunică în situația în care dezvăluirea acestuia este de natură să afecteze una dintre activitățile prevăzute la alin. (1) lit. a)-d).

(5) Operatorul este obligat să țină evidența cazurilor în care a fost dispusă măsura de limitare a dreptului de acces și să documenteze adoptarea acestei măsuri.

(6) În luna ianuarie a fiecărui an, operatorul are obligația de a informa autoritatea de supraveghere cu privire la situația statistică a cazurilor în care a fost adoptată măsura de limitare a dreptului de acces în anul precedent, defalcat pentru fiecare dintre activitățile prevăzute la alin. (1).

(1) Persoana vizată are dreptul de a obține de la operator, la cerere și în mod gratuit, rectificarea datelor cu caracter personal inexacte care o privesc.

(2) Persoana vizată are dreptul de a solicita completarea datelor cu caracter personal care o privesc, inclusiv prin furnizarea unei declarații suplimentare.

(3) Operatorul are obligația de a șterge, prin proceduri ireversibile, din oficiu sau la cererea persoanei vizate, datele cu caracter personal a căror prelucrare nu este conformă dispozițiilor art. 1 alin. (2), art. 5 sau 10 ori care trebuie șterse în virtutea îndeplinirii unei obligații prevăzute expres de lege.

(4) Operatorul are obligația de a restricționa prelucrarea datelor cu caracter personal, și nu de a le șterge, în cazul în care este incidentă una dintre următoarele situații:

(5) Operatorul este obligat să comunice persoanei vizate, în condițiile art. 12 alin. (2)-(4), în termen de cel mult 60 de zile calendaristice de la înregistrarea solicitării, confirmarea sau, după caz, infirmarea soluționării cererilor formulate potrivit prevederilor alin. (1), (2) sau (3), motivele pe care se întemeiază măsura infirmării, precum și faptul că se poate adresa cu plângere la autoritatea de supraveghere sau poate ataca în instanță decizia operatorului.

(6) Termenul prevăzut la alin. (5) poate fi prelungit cu până la 60 de zile calendaristice, în măsura în care soluționarea cererilor necesită proceduri complexe, în special consultarea unor autorități competente din străinătate. Persoana vizată este informată cu privire la prelungirea termenului înainte de expirarea termenului inițial.

(7) Ridicarea restricționării prelucrării instituite potrivit prevederilor alin. (4) lit. a) se realizează de către operator, concomitent cu notificarea persoanei vizate cu privire la măsura adoptată.

(8) Dispozițiile alin. (5) nu se aplică dacă, ținând seama de drepturile fundamentale și interesele legitime ale persoanei fizice, o astfel de măsură este necesară și proporțională într-o societate democratică pentru:

(1) În situația rectificării datelor cu caracter personal potrivit prevederilor art. 18 alin. (1), operatorul are obligația să verifice modul în care acestea au fost colectate.

(2) În cazul în care datele cu caracter personal au fost colectate prin transfer de la o autoritate competentă, operatorul are obligația să transmită acesteia o notificare cu privire la rectificarea datelor.

(3) În situația rectificării, ștergerii ori restricționării datelor cu caracter personal potrivit prevederilor art. 18 alin. (1), (3) sau (4), operatorul are obligația să verifice dacă acestea au fost transmise unui destinatar anterior rectificării.

(4) În cazul în care datele cu caracter personal au fost transmise unui destinatar anterior rectificării, operatorul are obligația să transmită acestuia o notificare cu privire la rectificarea, ștergerea ori restricționarea prelucrării datelor cu caracter personal, după caz.

(5) Destinatarul situat pe teritoriul României ori căruia i se aplică legea română are obligația de a dispune o măsură similară celei cu privire la care a fost notificat, cu excepția incidenței, în cazul ștergerii ori restricționării datelor cu caracter personal, a uneia dintre următoarele situații:

(6) În situația incidenței vreuneia dintre situațiile prevăzute la alin. (5) lit. a)-c), persoana vizată este informată cu aplicarea, după caz, a dispozițiilor art. 14, cu privire la măsura adoptată, motivele pe care se întemeiază măsura infirmării, precum și cu privire la faptul că se poate adresa cu plângere autorității de supraveghere sau poate ataca în instanță decizia operatorului.

(1) În situațiile prevăzute la art. 15, art. 17 alin. (3) sau art. 19 alin. (6), persoana vizată se poate adresa autorității de supraveghere pentru exercitarea drepturilor prevăzute de lege.

(2) Operatorul are obligația de a informa persoana vizată cu privire la posibilitatea prevăzută la alin. (1).

(3) În situația prevăzută la alin. (1), autoritatea de supraveghere întreprinde măsurile necesare potrivit atribuțiilor sale legale.

(4) Autoritatea de supraveghere informează persoana vizată cu privire la aspectele constatate, precum și cu privire la posibilitatea de a se adresa instanței de judecată.

(1) Operatorul, ținând seama de natura, domeniul de aplicare, contextul și scopurile prelucrării, precum și de gradul de ingerință în drepturile și libertățile persoanelor fizice, este obligat să aplice măsurile tehnice și organizatorice adecvate pentru a asigura și a fi în măsură să demonstreze efectuarea prelucrării în conformitate cu prezenta lege.

(2) Măsurile adoptate potrivit prevederilor alin. (1) trebuie să fie proporționale cu operațiunile de prelucrare realizate de către operator și includ politici corespunzătoare de protecție a datelor cu caracter personal.

(1) În scopul punerii în aplicare în mod eficient a principiilor de protecție a datelor cu caracter personal, precum și pentru reducerea la minimum a prelucrărilor de date cu caracter personal, dar și în scopul integrării garanțiilor necesare în cadrul prelucrării, pentru a îndeplini cerințele prezentei legi și pentru a proteja drepturile persoanelor vizate, operatorul este obligat ca, la momentul stabilirii mijloacelor de prelucrare, precum și la cel al prelucrării efective, să pună în aplicare măsuri tehnice și organizatorice adecvate, având în vedere:

(2) Pentru îndeplinirea obiectivelor prevăzute la alin. (1), operatorul evaluează, la momentul stabilirii mijloacelor de prelucrare, în scopul identificării măsurilor tehnice și organizatorice adecvate, cel puțin posibilitatea introducerii unei soluții de pseudonimizare ori a unei alte soluții tehnice cu efect similar.

(3) Operatorul are obligația de a pune în aplicare măsuri tehnice și organizatorice adecvate prin care să se asigure că, în mod implicit, sunt prelucrate numai date cu caracter personal care sunt necesare pentru fiecare scop specific al prelucrării.

(4) Obligația prevăzută la alin. (3) vizează:

(5) Prin măsurile dispuse potrivit prevederilor alin. (3) și (4), operatorul trebuie să se asigure că datele cu caracter personal nu sunt accesibile, fără intervenție umană, unui număr nedefinit de utilizatori.

(1) Operatorii asociați se desemnează printr-un act normativ, în cuprinsul căruia se stabilesc, în comun, scopurile și mijloacele de prelucrare a datelor cu caracter personal.

(2) Actul normativ prevăzut la alin. (1) trebuie să cuprindă o delimitare a responsabilităților ce revin fiecăruia dintre operatorii asociați în condițiile prezentei legi.

(3) Actul normativ prevăzut la alin. (1) trebuie să cuprindă cel puțin următoarele aspecte:

(4) În situația în care scopurile și mijloacele de prelucrare nu sunt stabilite prin act normativ, responsabilitățile ce revin în condițiile prezentei legi operatorilor asociați pot fi stabilite prin intermediul unui act juridic. Acesta trebuie să cuprindă elementele prevăzute la alin. (3) și este supus obligației de punere la dispoziția persoanelor vizate. Obligația de punere la dispoziție trebuie îndeplinită cu minimum 5 zile înainte de intrarea în vigoare a respectivului act juridic.

(1) Desemnarea persoanelor împuternicite de către operator este posibilă doar dacă există suficiente garanții pentru punerea în aplicare a măsurilor tehnice și organizatorice adecvate, astfel încât prelucrarea să îndeplinească cerințele prezentei legi și să asigure protecția drepturilor persoanei vizate.

(2) Desemnarea, de către o persoană împuternicită de către operator, a unei alte persoane împuternicite în scopul realizării uneia sau mai multor operațiuni de prelucrare nu este posibilă decât cu acordul scris al operatorului. Acordul scris poate fi emis doar dacă sunt îndeplinite condițiile prevăzute la alin. (1).

(3) Persoana împuternicită de către operator are obligația de a informa operatorul cu privire la orice modificări preconizate privind adăugarea sau înlocuirea altor persoane împuternicite de către operator.

(4) Desemnarea prevăzută la alin. (1) sau, după caz, alin. (2) se realizează prin intermediul unui contract sau protocol încheiat între părți, care trebuie să detalieze:

(5) Protocolul sau, după caz, contractul prevăzut la alin. (4) se pune la dispoziția persoanelor vizate și trebuie să stabilească în sarcina persoanei împuternicite de către operator următoarele obligații:

(6) Protocolul sau, după caz, contractul prevăzut la alin. (4) poate fi pus la dispoziția persoanelor vizate, la cerere, în format electronic.

(7) Persoana împuternicită de către operator este considerată operator în cazul în care, prin încălcarea dispozițiilor prezentei legi, aceasta stabilește scopurile și mijloacele de prelucrare pentru datele cu caracter personal puse la dispoziție de către operator.

(8) În situația prevăzută la alin. (7), operatorul este exonerat de răspundere numai în situația în care demonstrează că persoana împuternicită de operator a acționat cu rea-credință.

(1) Se interzice persoanei împuternicite de către operator să prelucreze datele cu caracter personal cu depășirea instrucțiunilor primite de la operator, cu excepția situațiilor prevăzute expres de lege.

(2) Orice persoană care acționează sub autoritatea operatorului sau a persoanei împuternicite de către operator, care are acces la date cu caracter personal, nu poate să le prelucreze decât pe baza instrucțiunilor operatorului, cu excepția situațiilor prevăzute expres de lege.

(1) Operatorul este obligat să țină evidența tuturor categoriilor de activități de prelucrare aflate în responsabilitatea sa.

(2) Evidența prevăzută la alin. (1) cuprinde următoarele informații:

(1) Persoana împuternicită de către operator este obligată să țină evidența tuturor categoriilor de activități de prelucrare aflate în responsabilitatea sa.

(2) Evidența prevăzută la alin. (1) cuprinde următoarele informații:

(1) Evidențele prevăzute la art. 27 și 28 se păstrează în format hârtie și în format electronic.

(2) Operatorul și persoana împuternicită de către operator au obligația de a pune la dispoziția autorității de supraveghere, la solicitarea acesteia, evidențele prevăzute la art. 27 și 28.

(1) Operatorul sau persoana împuternicită de către operator este obligat/obligată să înregistreze, în cadrul sistemelor de prelucrare automată, toate operațiunile de prelucrare a datelor cu caracter personal.

(2) Înregistrările prevăzute la alin. (1) trebuie să conțină cel puțin următoarele informații:

(3) În cazul operațiunilor de prelucrare sub forma consultării sau divulgării este obligatorie înregistrarea motivului prelucrării care trebuie să permită identificarea documentului/situației concrete care a stat la bază și a justificat prelucrarea datelor cu caracter personal și, după caz, a destinatarilor datelor cu caracter personal.

(4) Înregistrările prevăzute la alin. (1) pot fi utilizate doar în următoarele situații:

(5) Responsabilul cu protecția datelor cu caracter personal, în realizarea atribuțiilor sale, are acces la înregistrările prevăzute la alin. (1).

(6) Înregistrările prevăzute la alin. (1) se pun la dispoziția autorității de supraveghere, la cererea acesteia.

(1) În situația în care se intenționează introducerea unei noi prelucrări de date cu caracter personal, în special în situația în care aceasta implică utilizarea de noi tehnologii, operatorul este obligat să evalueze următoarele aspecte ale prelucrării:

(2) În măsura în care prelucrarea prevăzută la alin. (1) este susceptibilă să genereze un risc ridicat la adresa drepturilor și libertăților persoanelor fizice, operatorul este obligat ca înaintea prelucrării să efectueze o evaluare a impactului operațiunilor de prelucrare preconizate asupra datelor cu caracter personal.

(3) Pentru operațiunile de prelucrare existente, operatorii sunt obligați să realizeze evaluarea prevăzută la alin. (1) și, după caz, evaluarea impactului operațiunilor de prelucrare prevăzută la alin. (2) în termen de 2 ani de la intrarea în vigoare a prezentei legi.

(4) Evaluarea impactului operațiunilor de prelucrare prevăzută la alin. (2) cuprinde cel puțin următoarele:

(1) Operatorul sau, după caz, persoana împuternicită de către operator este obligat/obligată să consulte autoritatea de supraveghere înainte de prelucrarea datelor cu caracter personal care fac parte dintr-un sistem nou de evidență a datelor, în situațiile în care:

(2) În cadrul procedurilor de elaborare a proiectelor de acte normative care reglementează prelucrări de date cu caracter personal sau în baza cărora vor fi realizate astfel de prelucrări este obligatorie consultarea autorității de supraveghere.

(3) Autoritatea de supraveghere este abilitată să stabilească o listă a operațiunilor de prelucrare care fac obiectul consultării prealabile prevăzute la alin. (1).

(4) Operatorul sau, după caz, persoana împuternicită de către operator transmite autorității de supraveghere, în termen de 30 de zile calendaristice de la finalizare, dar înainte de începerea prelucrării, evaluarea prevăzută la art. 32.

(5) La cererea autorității de supraveghere, operatorul sau, după caz, persoana împuternicită de către operator pune la dispoziția acesteia orice informație în scopul evaluării conformității prelucrării și a riscurilor la adresa protecției datelor cu caracter personal ale persoanei vizate și a garanțiilor aferente.

(1) În cazul în care autoritatea de supraveghere constată că operațiunile de prelucrare pentru care este consultată potrivit prevederilor art. 33 încalcă dispozițiile prezentei legi, în special în cazul în care riscul nu a fost identificat sau atenuat într-o măsură suficientă de către operator, aceasta formulează și transmite operatorului sau, după caz, persoanei împuternicite de către operator observații sau recomandări, în termen de cel mult 30 de zile lucrătoare de la data înregistrării cererii de consultare.

(2) În funcție de complexitatea prelucrării preconizate, termenul prevăzut la alin. (1) poate fi prelungit cu 20 de zile lucrătoare. Autoritatea de supraveghere informează operatorul și, după caz, persoana împuternicită de către operator, în termen de 20 de zile lucrătoare de la înregistrarea cererii de consultare, cu privire la prelungirea termenului, inclusiv cu privire la motivele acesteia.

(3) Dreptul autorității de supraveghere de a formula observații sau recomandări, în situația prevăzută la alin. (1), nu afectează în niciun fel exercitarea oricăreia dintre competențele acesteia prevăzute în Legea nr. 102/2005, cu modificările și completările ulterioare.

(1) Operatorul sau, după caz, persoana împuternicită de către operator implementează măsuri tehnice și organizatorice adecvate în vederea asigurării unui nivel de securitate corespunzător.

(2) La stabilirea nivelului de securitate corespunzător, operatorul sau, după caz, persoana împuternicită de acesta are în vedere stadiul actual al tehnologiei și costurile implementării și ține seama de natura, domeniul de aplicare, contextul și scopurile prelucrării, precum și de gradul de ingerință asupra drepturilor și libertăților persoanelor fizice, în special cu privire la prelucrarea categoriilor speciale de date cu caracter personal prevăzute la art. 10.

(3) În situația prelucrărilor prin mijloace automate, operatorul sau, după caz, persoana împuternicită de către operator este obligată să realizeze o evaluare a riscurilor incidente prelucrărilor preconizate.

(4) În urma evaluării prevăzute la alin. (3), operatorul sau, după caz, persoana împuternicită de către operator are obligația punerii în aplicare a măsurilor menite:

(1) În cazul în care operatorul constată o încălcare a securității datelor, notifică fără întârzieri nejustificate autoritatea de supraveghere.

(2) În funcție de complexitatea încălcării securității, notificarea prevăzută la alin. (1) se transmite nu mai târziu de 72 de ore. În această situație, operatorul este obligat să transmită și o justificare a întârzierii. Termenul începe să curgă de la momentul la care operatorul a luat cunoștință despre încălcarea securității datelor cu caracter personal.

(3) Notificarea prevăzută la alin. (1) nu este necesară în cazul în care încălcarea securității datelor cu caracter personal nu este susceptibilă să genereze un risc la adresa drepturilor și libertăților persoanelor fizice.

(4) Persoana împuternicită de către operator are obligația să informeze operatorul, fără întârzieri nejustificate, cu privire la existența unei încălcări a securității datelor cu caracter personal.

(5) Operatorul are obligația să implementeze toate măsurile necesare pentru a se asigura că persoana împuternicită de către operator respectă și îndeplinește obligațiile ce îi revin potrivit prevederilor alin. (4).

(6) Notificarea prevăzută la alin. (1) trebuie să conțină cel puțin următoarele informații:

(7) În cazul în care nu este posibilă furnizarea, în același timp, a informațiilor prevăzute la alin. (6), acestea pot fi transmise treptat, fără întârzieri nejustificate, într-un termen care să nu depășească 48 de ore de la momentul transmiterii notificării inițiale.

(1) Operatorul are obligația să documenteze toate cazurile de încălcare a securității datelor cu caracter personal și să păstreze documentele pentru o perioadă de 5 ani de la transmiterea notificării prevăzute la art. 36.

(2) Documentele prevăzute la alin. (1) trebuie să cuprindă:

(3) Documentele prevăzute la alin. (1) trebuie să permită autorității de supraveghere să verifice respectarea dispozițiilor prezentului articol.

(1) Operatorul are obligația să transmită informațiile prevăzute la art. 36 alin. (6) către entitatea care, după caz, a furnizat datele cu caracter personal sau către care au fost transmise datele cu caracter personal, în cazul în care încălcarea securității datelor implică date cu caracter personal care au fost transmise de un operator dintr-un alt stat membru sau către un astfel de operator.

(2) Transmiterea informațiilor potrivit alin. (1) se realizează în termenul prevăzut la art. 36 alin. (2).

(1) În cazul în care încălcarea securității datelor cu caracter personal este susceptibilă să genereze un risc ridicat la adresa drepturilor și libertăților persoanelor fizice, operatorul informează persoana vizată, fără întârzieri nejustificate, dar nu mai mult de 10 zile calendaristice de la notificarea autorității de supraveghere, realizată în temeiul prevederilor art. 36, cu privire la încălcarea securității datelor cu caracter personal.

(2) Informarea prevăzută la alin. (1) trebuie să conțină o descriere, folosind un limbaj simplu și clar, a naturii încălcării securității datelor cu caracter personal și cel puțin informațiile prevăzute la art. 36 alin. (6) lit. b)-d).

(3) Informarea prevăzută la alin. (1) nu este necesară în cazul în care este îndeplinită oricare dintre următoarele condiții:

(4) În situația primirii unei notificări potrivit prevederilor art. 36, autoritatea de supraveghere, luând în considerare probabilitatea ca încălcarea securității datelor cu caracter personal să genereze un risc ridicat, poate dispune operatorului să informeze persoana vizată sau, după caz, să constate că oricare dintre situațiile prevăzute la alin. (3) este incidentă.

(5) Informarea prevăzută la alin. (1) poate fi amânată, restricționată sau omisă în condițiile prevederilor art. 15.

(1) Operatorul este obligat să desemneze un responsabil cu protecția datelor cu caracter personal.

(2) Instanțele sunt exceptate de la obligația prevăzută la alin. (1) atunci când acționează în exercițiul funcției lor judiciare.

(3) Poate fi desemnată responsabil cu protecția datelor persoana care îndeplinește următoarele condiții:

(4) Luând în considerare structura organizatorică și dimensiunea lor, mai multe autorități competente pot desemna același responsabil cu protecția datelor.

(5) Operatorul are obligația să publice datele de contact ale responsabilului cu protecția datelor și să le comunice autorității de supraveghere.

(1) Operatorul are obligația de a consulta responsabilul cu protecția datelor cu caracter personal în mod corespunzător și în timp util în toate aspectele legate de protecția datelor cu caracter personal.

(2) Operatorul are obligația de a acorda sprijin responsabilului cu protecția datelor cu caracter personal în îndeplinirea sarcinilor prevăzute la art. 42, în special prin, dar fără a se limita la:

(1) Transferul de date cu caracter personal care sunt în curs de prelucrare sau care sunt destinate prelucrării după transferul către un stat terț sau către o organizație internațională, inclusiv transferurile ulterioare către un alt stat terț sau o altă organizație internațională, poate avea loc doar cu respectarea dispozițiilor prezentei legi și numai dacă sunt îndeplinite următoarele condiții:

(2) La evaluarea factorilor relevanți pentru transfer, în condițiile alin. (1) lit. e), se au în vedere cel puțin următoarele aspecte:

(3) Autoritățile competente române autorizează transferul datelor cu caracter personal către un stat terț sau către o organizație internațională, la cererea unei autorități competente dintr-un stat membru, numai dacă sunt îndeplinite condițiile prevăzute de prezenta lege.

(4) Autorizarea prevăzută la alin. (3) se transmite cu celeritate, dar nu mai târziu de 30 de zile calendaristice de la primirea cererii. În situația în care nu sunt îndeplinite condițiile prevăzute de prezenta lege pentru autorizarea transferului, autorității competente din statul membru care a formulat cererea i se comunică motivele pentru care transferul nu poate fi autorizat.

(5) Autoritățile competente române pot realiza transferurile fără autorizarea prealabilă de către un alt stat membru, în conformitate cu dispozițiile alin. (1) lit. c), numai dacă transferul de date cu caracter personal este necesar pentru prevenirea unei amenințări imediate și grave la adresa ordinii și siguranței publice a unui stat membru sau a unei țări terțe sau a intereselor fundamentale ale unui stat membru, iar autorizarea prealabilă nu poate fi obținută în timp util. Autoritatea responsabilă pentru acordarea unei autorizări prealabile este informată fără întârziere.

(6) Dispozițiile prezentului articol, precum și cele ale art. 44-48 se aplică pentru a se asigura că nivelul de protecție a persoanelor fizice garantat prin prezenta lege nu este subminat.

(1) Transferul de date cu caracter personal către o țară terță sau o organizație internațională este întotdeauna posibil, în condițiile art. 43 alin. (1) lit. d), atunci când Comisia Europeană a decis că statul terț, un teritoriu ori una sau mai multe diviziuni administrativ-teritoriale determinate din acel stat terț sau organizația internațională în cauză asigură un nivel de protecție adecvat.

(2) Transferurile realizate în condițiile alin. (1) nu necesită autorizări speciale.

(3) Autoritățile competente au obligația, în situația transferurilor prevăzute la alin. (1), să monitorizeze și să respecte întocmai dispozițiile actelor de punere în aplicare adoptate de Comisia Europeană.

(4) Decizia Comisiei Europene de abrogare, modificare sau suspendare a unei decizii de adecvare nu aduce atingere transferurilor de date cu caracter personal către țara terță, către teritoriul sau către unul sau mai multe sectoare determinate din acea țară terță sau către organizația internațională în cauză în conformitate cu art. 37 și 38.

(5) Autoritățile competente române au obligația monitorizării listei statelor terțe, a teritoriilor și diviziunilor administrativ-teritoriale determinate din statele terțe și a organizațiilor internaționale în cazul cărora Comisia Europeană a decis că nivelul de protecție adecvat este asigurat sau nu mai este asigurat, prin consultarea Jurnalului Oficial al Uniunii Europene și a site-ului web al Comisiei Europene.

(1) Prin excepție de la dispozițiile art. 43 alin. (1) lit. d), în absența unei decizii adoptate de Comisia Europeană, transferul de date cu caracter personal către o țară terță sau către o organizație internațională poate avea loc atunci când:

(2) În scopul îndeplinirii condițiilor prevăzute la alin. (1) lit. b), operatorul trebuie să țină cont cel puțin de următoarele:

(3) Operatorul informează autoritatea de supraveghere cu privire la transferurile realizate în condițiile alin. (1) lit. b).

(4) Operatorul are obligația să țină evidența transferurilor realizate în condițiile alin. (1) lit. b), precizând cel puțin următoarele:

(5) Documentația prevăzută la alin. (4) se păstrează pentru o perioadă de 10 ani și, la cerere, se pune la dispoziția autorității de supraveghere.

(1) Prin excepție de la dispozițiile art. 45 alin. (1) și în cazul în care nu pot fi îndeplinite condițiile prevăzute la art. 44, un transfer sau o categorie de transferuri de date cu caracter personal către o țară terță sau către o organizație internațională poate avea loc numai în condițiile în care transferul este necesar pentru atingerea unuia dintre următoarele scopuri:

(2) Se interzice transferul datelor cu caracter personal în condițiile alin. (1) lit. d) și e) în cazul în care în urma evaluărilor realizate de autoritatea competentă română care transferă datele cu caracter personal se stabilește că drepturile și libertățile fundamentale ale persoanei vizate prevalează asupra interesului public.

(3) În situația transferurilor realizate în condițiile alin. (1), dispozițiile art. 45 alin. (4) și (5) se aplică în mod corespunzător.

(1) În cazuri individuale specifice, dacă sunt îndeplinite toate condițiile referitoare la transferul de date cu caracter personal prevăzute de prezenta lege, operatorul poate transfera date cu caracter personal către destinatari din state terțe care nu sunt autorități competente în înțelesul prezentei legi, numai dacă sunt îndeplinite în mod cumulativ următoarele condiții:

(2) Transferul în condițiile alin. (1) este posibil numai dacă destinatarul se angajează în scris să nu prelucreze datele cu caracter personal în alt scop decât cel pentru care au fost transmise, circumscris îndeplinirii scopurilor prevăzute la art. 1.

(3) Dispozițiile alin. (1) nu afectează transferurile de date cu caracter personal stabilite prin tratate încheiate în domeniul cooperării judiciare în materie penală sau al cooperării polițienești internaționale.

(4) Autoritatea competentă română informează periodic, cel puțin o dată pe an, autoritatea de supraveghere cu privire la transferurile efectuate în temeiul prezentului articol.

(5) În situația transferurilor realizate în condițiile alin. (1), dispozițiile art. 43 alin. (4) și (5) se aplică în mod corespunzător.

(1) Pentru realizarea activităților de cercetare și combatere a infracțiunilor, sistemele de evidență a datelor cu caracter personal sau, după caz, mijloacele automate de prelucrare a datelor cu caracter personal pe care operatorii le dețin, pentru scopuri diferite, pot fi interoperabilizate.

(2) În scopul prevăzut la alin. (1), interoperabilizarea sistemelor de evidență a datelor cu caracter personal sau a mijloacelor automate de prelucrare a datelor cu caracter personal se poate realiza și cu sistemele de evidență ori cu mijloacele automate de prelucrare a datelor cu caracter personal deținute de alți operatori, autorități și instituții publice naționale.

(3) Interoperabilizările prevăzute la alin. (1) și (2) sunt posibile numai cu consultarea prealabilă a autorității de supraveghere.

(4) În scopul prevăzut la alin. (1), interoperabilizarea sistemelor de evidență a datelor cu caracter personal sau a mijloacelor automate de prelucrare a datelor cu caracter personal se poate realiza și cu sistemele de evidență sau cu mijloacele automate de prelucrare a datelor cu caracter personal deținute de alți operatori, entități de drept privat.

(5) Interoperabilizările prevăzute la alin. (4) sunt permise numai în scopul efectuării urmăririi penale, în baza unei ordonanțe emise de procurorul competent să efectueze ori să supravegheze urmărirea penală într-un caz determinat, ori, în cazul judecării unei infracțiuni, de completul de judecată învestit cu soluționarea cauzei.

(6) Accesul direct sau printr-un serviciu de comunicații electronice la un sistem de evidență a datelor cu caracter personal care face obiectul interoperabilizării, potrivit alin. (1), este permis numai în condițiile legii și cu respectarea prevederilor art. 1.

(1) În cazul activităților de prevenire a infracțiunilor, de menținere și de asigurare a ordinii și siguranței publice, sistemele de evidență a datelor cu caracter personal sau mijloacele automate de prelucrare a datelor cu caracter personal pot fi interoperabilizate cu:

(2) În cazul activităților prevăzute la alin. (1), sistemele de evidență a datelor cu caracter personal sau, după caz, mijloacele automate de prelucrare a datelor cu caracter personal pe care le dețin operatorii, pentru scopuri similare ori corelate, pot fi interoperabilizate.

(3) Interoperabilizările prevăzute la alin. (1) și (2) se aduc la cunoștința autorității de supraveghere.

(4) În cazul activităților prevăzute la alin. (1) se pot interoperabiliza sistemele de evidență a datelor cu caracter personal sau, după caz, mijloacele automate de prelucrare a datelor cu caracter personal pe care le dețin pentru scopuri diferite, numai cu acordul prealabil al autorității de supraveghere.

(1) Supravegherea prelucrărilor de date cu caracter personal efectuate în temeiul prezentei legi, în scopul protejării drepturilor și libertăților fundamentale ale persoanelor fizice, în ceea ce privește prelucrarea și în vederea facilitării liberei circulații a datelor cu caracter personal în cadrul Uniunii Europene, se realizează de către autoritatea de supraveghere.

(2) Autoritatea de supraveghere cooperează cu autorități similare din alte state membre, precum și cu Comisia, în conformitate cu art. 56.

(1) Autoritatea de supraveghere monitorizează și controlează sub aspectul legalității prelucrările de date cu caracter personal care intră sub incidența prezentei legi.

(2) Prin excepție de la alin. (1), autoritatea de supraveghere nu este competentă să supravegheze operațiunile de prelucrare ale instanțelor atunci când acestea acționează în exercițiul funcției lor judiciare.

(3) În acest scop, autoritatea de supraveghere îndeplinește sarcinile prevăzute la art. 57 alin. (1) lit. b), c) și t) din Regulamentul (UE) 2016/679, precum și următoarele:

(1) În exercitarea competențelor de investigare, autoritatea de supraveghere are acces la toate datele cu caracter personal prelucrate de operator și persoana împuternicită de operator, precum și la toate informațiile necesare pentru îndeplinirea sarcinilor sale.

(2) Autorității de supraveghere îi revin următoarele competențe:

(3) Autoritatea de supraveghere oferă consiliere operatorului în conformitate cu procedura de consultare prealabilă menționată la art. 33 și 34 și emite avize, din proprie inițiativă sau la cerere, Parlamentului, Guvernului sau altor instituții și organisme, precum și publicului, cu privire la orice aspect legat de protecția datelor cu caracter personal.

(1) Autoritatea de supraveghere cooperează cu instituții similare din străinătate și asigură reprezentarea în cadrul Comitetului European pentru Protecția Datelor.

(2) Dispozițiile Legii nr. 102/2005, cu modificările și completările ulterioare, referitoare la cooperarea Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal cu instituții similare din străinătate, sunt aplicabile în mod corespunzător.

(1) În cazul în care persoana vizată consideră că prelucrarea datelor cu caracter personal care o vizează încalcă dispozițiile prezentei legi, are dreptul de a se adresa cu plângere autorității de supraveghere.

(2) Dispozițiile Regulamentului general privind protecția datelor sunt aplicabile în mod corespunzător.

(1) Orice persoană care a suferit prejudicii materiale sau morale ca urmare a unei operațiuni de prelucrare ilegale sau a oricărei acțiuni care încalcă dispozițiile prezentei legi are dreptul de a obține despăgubiri, în condițiile legii, pentru prejudiciul cauzat de operator sau de o altă autoritate competentă.

(2) Dacă, în situația prelucrărilor automate de date cu caracter personal, nu este posibilă determinarea operatorului de date cu caracter personal care a cauzat prejudiciul, fiecare dintre operatorii de date cu caracter personal implicați în operațiunea de prelucrare este considerat a fi responsabil.

(1) Constituie contravenție încălcarea de către operator sau, după caz, de către persoana împuternicită de operator a obligațiilor acestora în conformitate cu art. 11 și 22-42 din prezenta lege.

(2) Constituie contravenție încălcarea de către operator sau, după caz, de către persoana împuternicită de operator a dispozițiilor art. 10 din prezenta lege.

(3) Contravențiile prevăzute la alin. (1) și (2) se sancționează cu amendă de la 10.000 lei până la 100.000 lei.

(4) Constituie contravenție încălcarea de către operator sau, după caz, de către persoana împuternicită de operator a normelor prevăzute la art. 5.

(5) Constituie contravenție încălcarea de către operator sau, după caz, de către persoana împuternicită de operator a drepturilor persoanelor vizate în conformitate cu art. 12-21.

(6) Constituie contravenție încălcarea de către operator sau, după caz, de către persoana împuternicită de operator a dispozițiilor referitoare la transferurile de date cu caracter personal către un destinatar dintr-o țară terță sau o organizație internațională, în conformitate cu art. 44-49.

(7) Constituie contravenție încălcarea de către operator sau, după caz, de către persoana împuternicită de operator a dispozițiilor emise de către autoritatea de supraveghere în temeiul art. 53 alin. (2) sau neacordarea accesului autorității de supraveghere, prin încălcarea dispozițiilor art. 53 alin. (1).

(8) Contravențiile prevăzute la alin. (4)-(7) se sancționează cu amendă de la 20.000 lei până la 200.000 lei.

(1) În cazul constatării încălcării prevederilor prezentei legi de către operator sau, după caz, de către persoana împuternicită de operator, autoritatea de supraveghere încheie un proces-verbal de constatare și sancționare a contravenției prin care se aplică sancțiunea avertismentului, conform art. 58 alin. (2) lit. b) din Regulamentul general privind protecția datelor, și la care anexează un plan de remediere.

(2) Termenul de remediere se stabilește în funcție de riscurile asociate prelucrării, precum și demersurile necesar a fi îndeplinite pentru asigurarea conformității prelucrării.

(3) În termen de 10 zile de la data expirării termenului de remediere, autoritatea de supraveghere poate să reia controlul.

(4) În cazul în care operatorul sau, după caz, persoana împuternicită de operator constată că nu poate îndeplini în termenul stabilit, din motive întemeiate, o parte din măsurile dispuse prin planul de remediere, notifică autoritatea de supraveghere cu privire la acest aspect cu cel puțin 10 zile înainte de expirarea termenului, putând solicita totodată prelungirea termenului inițial.

(5) Autoritatea de supraveghere analizează solicitarea de prelungire a termenului și comunică răspunsul operatorului sau, după caz, persoanei împuternicite de către operator, în termen de 7 zile de la primirea cererii.

(6) Dacă autoritatea de supraveghere consideră justificată cererea operatorului sau, după caz, a persoanei împuternicite de către operator, poate prelungi termenul de remediere cu până la 30 de zile. În caz contrar, se aplică prevederile de la alin. (3).

(7) Responsabilitatea îndeplinirii măsurilor de remediere revine operatorului sau, după caz, persoanei împuternicite de operator, care, potrivit legii, poartă răspunderea contravențională pentru faptele constatate.

(8) Modelul planului de remediere care se anexează la procesul-verbal de constatare și sancționare a contravenției este prevăzut în anexa la prezenta lege.