POLITICA DE SECURITATE

                                                                                                        A PRELUCRĂRII DATELOR CU CARACTER  PERSONAL

        APROBAT:

prin Ordinul nr. 1/PD

din 17.01.2022

I. DISPOZIȚII GENERALE

1.1.Prezenta Politică de securitate a datelor cu caracter personal (în continuare "Politica de securitate") prelucrate de către ”VERIX-GRUP” S.R.L. are drept scop stabilirea măsurilor tehnice şi organizatorice necesare pentru asigurarea securităţii, confidenţialităţii şi integrităţii datelor cu caracter personal prelucrate în sistemele informaționale și de a asigura un nivel corespunzător al protecţiei datelor personale a persoanelor vizate în cadrul raporturilor de muncă și în activitățile de bază ale întreprinderii privind comerțul cu materiale de construcții cu amănuntul și cu ridicata.

         1.2. Politica de securitate a fost elaborată în conformitate cu prevederile Legii privind protecţia datelor cu caracter personal nr. 133 din 08.06.2011, Cerinţele faţă de asigurarea securităţii datelor cu caracter personal la prelucrarea acestora în cadrul sistemelor informaţionale de date cu caracter personal, aprobate prin Hotărârea Guvernului nr. 1123 din 14.12.2010, Convenţiei pentru protecţia persoanelor referitor la prelucrarea automatizată a datelor cu caracter personal, încheiate la Strasbourg la 28.01.1981, ratificate de Republica Moldova prin Hotărârea Parlamentului nr. 483-XIV din 2.06.1999, Regulamentului General privind Protecția Datelor (GDPR) European şi alte prevederi ale legislației în vigoare.

         1.3. Politica de securitate a datelor cu caracter personal se revizueşte cel puţin o dată în an ca rezultat al modificărilor sau reevaluării componentelor acesteia şi se aprobă de către administratorul întreprinderii.

         1.4. Noţiunile utilizate în domeniul securităţii datelor cu caracter personal :

         date cu caracter personal – orice informaţie referitoare la o persoană fizică identificată sau identificabilă (subiect al datelor cu caracter personal). Persoana identificabilă este persoana care poate fi identificată, direct sau indirect, prin referire la un număr de identificare sau la unul ori mai multe elemente specifice identităţii sale fizice, fiziologice, psihice, economice, culturale sau sociale;

          categorii speciale de date cu caracter personal – datele care dezvăluie originea rasială sau etnică a persoanei, convingerile ei politice, religioase sau filozofice, apartenenţa socială, datele privind starea de sănătate sau viaţa sexuală, precum şi cele referitoare la condamnările penale, măsurile procesuale de constrângere sau sancţiunile contravenţionale;

          prelucrarea datelor cu caracter personal – orice operaţiune sau serie de operaţiuni care se efectuează asupra datelor cu caracter personal prin mijloace automatizate sau neautomatizate, cum ar fi colectarea, înregistrarea, organizarea, stocarea, păstrarea, restabilirea, adaptarea ori modificarea, extragerea, consultarea, utilizarea, dezvăluirea prin transmitere, diseminare sau în orice alt mod, alăturarea ori combinarea, blocarea, ştergerea sau distrugerea;

          sistem de evidenţă a datelor cu caracter personal – orice serie structurată de date cu caracter personal accesibile conform unor criterii specifice, fie că este centralizată, descentralizată ori repartizată după criterii funcţionale sau geografice;

          operator – persoana fizică sau persoana juridică de drept public sau de drept privat, inclusiv autoritatea publică, orice altă instituţie ori organizaţie care, în mod individual sau împreună cu altele, stabileşte scopurile şi mijloacele de prelucrare a datelor cu caracter personal prevăzute în mod expres de legislaţia în vigoare;

          persoană împuternicită de către operator – persoana fizică sau persoana juridică de drept public ori de drept privat, inclusiv autoritatea publică şi subdiviziunile ei teritoriale, care prelucrează date cu caracter personal în numele şi pe seama operatorului, pe baza instrucţiunilor primite de la operator;

         terţ – persoană fizică sau persoană juridică de drept public ori de drept privat, alta decât subiectul datelor cu caracter personal, decât operatorul ori persoana împuternicită de către operator şi decât persoana care sub autoritatea directă a operatorului sau a persoanei împuternicite este autorizată să prelucreze date cu caracter personal;

         destinatar – orice persoană fizică sau persoană juridică de drept public ori de drept privat, inclusiv autoritatea publică şi subdiviziunile ei teritoriale, căreia îi sunt dezvăluite date cu caracter personal, indiferent dacă este sau nu terţ. Nu sunt considerate destinatari organele din domeniul apărării naţionale, securităţii statului şi ordinii publice, organele de urmărire penală şi instanţele judecătoreşti cărora li se comunică date cu caracter personal în cadrul exercitării competenţelor stabilite de lege;
          consimţământul subiectului datelor cu caracter personal – manifestare de voință liberă, specifică, informată și lipsită de ambiguitate a subiectului de date prin care acesta acceptă, printr-o declarație sau printr-o acțiune fără echivoc, ca datele cu caracter personal care îl privesc să fie prelucrate;

restricționarea prelucrării - înseamnă marcarea datelor cu caracter personal stocate cu scopul de a limita prelucrarea viitoare a acestora;

creare de profiluri - înseamnă orice formă de prelucrare automată a datelor cu caracter personal care constă în utilizarea datelor cu caracter personal pentru a evalua anumite aspecte personale referitoare la o persoană fizică;

 pseudonimizare - înseamnă prelucrarea datelor cu caracter personal într-un asemenea mod încât acestea să nu mai poată fi atribuite unei anume persoane vizate fără a se utiliza informații suplimentare, cu condiția ca aceste informații suplimentare să fie stocate separat și să facă obiectul unor măsuri de natură tehnică și organizatorică care să asigure neatribuirea respectivelor date cu caracter personal unei persoane fizice identificate sau identificabile;

II. PRELUCRAREA DATELOR CU CARACTER PERSONAL                      

2.1. Datele cu caracter personal, care direct sau indirect identifică o persoană fizică, în special prin referire la un număr de identificare (cod personal), la unul sau mai multe elemente specifice proprii identităţii sale fizice, fiziologice, psihice, economice, culturale sau sociale, se împart în două categorii: obişnuite şi speciale.

         2.2. Categoria obişnuită a informaţiei prelucrate de către ”VERIX-GRUP” S.R.L. a datelor cu caracter personal, se va efectua în cadrul:

- sistemului de evidență contabilă și resurse umane;

- registrul clienților;

- sistem de supraveghere video.

          Notă:

         a) Legături cu alte sisteme informaționale din afara întreprinderii, registrele menționate nu au.

          b) La desfășurarea de către întreprindere a unor noi activități cu prelucrarea datelor cu caracter personal neincluse în registrele menționate mai sus, vor fi elaborate și aprobate procedurile corespunzătoare.

         2.3. Categoria obişnuită a informaţiei prelucrate se colectează din buletinul de identitate sau un alt act de identitate, carnetul de muncă, diploma de studii, date completate on-line, etc. De asemenea, categoria obișnuită de date cu caracter personal se regăsește și în datele autobiografice (CV), informaţiile despre salariu, date transmise on-line și altele.

         2.4. Categoria specială a datelor cu caracter personal o constituie informaţia care dezvăluie originea rasială sau etnică, convingerile politice, religioase, privind starea de sănătate sau viaţa intimă, precum şi cele privind condamnările penale ale unei persoane fizice.

         2.5. Prelucrarea de către ”VERIX-GRUP” S.R.L. a categoriei speciale a datelor cu caracter personal se va efectua numai la condițiile art. 6 al Legii nr. 133 din 08.06.2011.

         2.6. Prelucrarea datelor cu caracter personal se poate realiza prin mijloace automate, neautomate (manuale) sau mixtă în cadrul unor operaţiuni ori seturi de operaţiuni, fără a fi limitate la acestea, după cum urmează:

         a) colectarea - strângerea, adunarea ori primirea datelor cu caracter personal prin orice mijloace legale şi din orice sursă;

         b) înregistrarea - consemnarea datelor cu caracter personal într-un sistem de evidenţă automat ori neautomat, care poate fi registru, fişier automat, bază de date sau orice altă formă de evidenţă organizată, structurată ori ad-hoc sau într-un text, înşiruire de date ori document, indiferent de modalitatea în care se înscriu datele;

c) organizarea - ordonarea, structurarea sau sistematizarea datelor cu caracter

personal, conform unor criterii prestabilite, potrivit atribuţiilor legale ale operatorului,

în scopul eficientizării/ optimizării activităţilor de prelucrare a acestora;

         d) stocarea - păstrarea pe orice fel de suport a datelor cu caracter personal culese, inclusiv prin efectuarea copiilor de siguranţă;

         e) adaptarea - transformarea datelor cu caracter personal colectate iniţial, conform criteriilor prestabilite şi scopurilor pentru care au fost colectate;

         f) modificarea - actualizarea, completarea, schimbarea, corectarea ori refacerea datelor cu caracter personal, în scopul menţinerii caracteristicilor de exactitate, realitate, actualitate;

         g) extragerea - scoaterea unei părţi din categoria specifică de date cu caracter

personal, în scopul utilizării acesteia, separat şi distinct de prelucrarea iniţială;

         h) consultarea - examinarea, vizualizarea, interogarea ori cercetarea datelor cu caracter personal, fără a fi limitate la acestea, în scopul efectuării unei operaţiuni sau set de operaţiuni de prelucrare ulterioară;

         i) utilizarea - folosirea datelor cu caracter personal, în tot sau în parte, de către şi în interiorul operatorului, împuterniciţilor operatorului ori destinatarului, după caz, inclusiv prin tipărire, copiere, multiplicare, scanare sau orice alte procedee similare;

         j) dezvăluirea - a face disponibile date cu caracter personal către terţi prin comunicare, transmitere, diseminare sau în orice alt mod;

         k) alăturarea - adăugarea, alipirea sau anexarea unor date cu caracter personal la cele deja existente, pe care nu le modifică;

         l) combinarea - îmbinarea, unirea sau asamblarea unor date cu caracter personal

separate iniţial, într-o formă nouă, pe baza unor criterii prestabilite, pentru scopuri anume determinate;

         m) blocarea - întreruperea prelucrării datelor cu caracter personal;

         n) ştergerea - eliminarea sau înlăturarea, în tot sau în parte, a datelor cu caracter personal din evidenţă sau înregistrări, prin împlinirea termenului de păstrare, la atingerea scopului pentru care au fost introduse;

         o) transformarea - operaţiunea efectuată asupra datelor cu caracter personal având ca scop anonimizarea ori utilizarea acestora în scopuri exclusiv statistice;

     p) distrugerea - aducerea la stare de neîntrebuinţare, în condiţiile legii, definitivă şi irecuperabilă, prin mijloace mecanice sau termice, a suportului fizic pe care au fost prelucrate date cu caracter personal.

2.7. Prelucrarea datelor cu caracter personal se face cu respectarea următoarelor principii generale:

         a) prelucrate în mod legal, echitabil şi transparent faţă de persoana vizată ("legalitate, echitate şi transparenţă");

         b) colectate în scopuri determinate, explicite şi legitime care nu sunt prelucrate ulterior într-un mod incompatibil cu aceste scopuri ("limitări legate de scop");

c) adecvate, relevante şi limitate la ceea ce este necesar în raport cu scopurile în care sunt prelucrate ("reducerea la minimum a datelor");

         d) exacte şi, în cazul în care este necesar, să fie actualizate; trebuie să se ia toate măsurile necesare pentru a se asigura că datele cu caracter personal care sunt inexacte, având în vedere scopurile pentru care sunt prelucrate, sunt şterse sau rectificate fără întârziere ("exactitate");

         e) păstrate într-o formă care permite identificarea persoanelor vizate pe o perioadă care nu depăşeşte perioada necesară îndeplinirii scopurilor în care sunt prelucrate datele; datele cu caracter personal pot fi stocate pe perioade mai lungi în măsura în care acestea vor fi prelucrate exclusiv în scopuri de arhivare în interes public, sub rezerva punerii în aplicare a măsurilor de ordin tehnic şi organizatoric adecvate în vederea garantării drepturilor şi libertăţilor persoanei vizate ("limitări legate de stocare");

          f) prelucrate într-un mod care asigură securitatea adecvată a datelor cu caracter personal, inclusiv protecţia împotriva prelucrării neautorizate sau ilegale şi împotriva pierderii, a distrugerii sau a deteriorării accidentale, prin luarea de măsuri tehnice sau organizatorice corespunzătoare ("integritate şi confidenţialitate").

<!--[if gte vml 1]> <![endif]--><!--[if !vml]--><!--[endif]-->

           2.8. La depunerea cererii privind angajarea și ulterior semnarea unui contract individual de muncă, precum și alte tipuri de contracte, ori documente, după caz, precum și perfectarea documentelor pentru obținerea unui card bancar salarial, subiectului datelor cu caracter personal i se comunică informația despre operator și asigurarea securității la prelucrarea datelor cu caracter personal întru realizarea contractului individual de muncă precum și altor tipuri de contracte ori documente, după caz.

         2.9. Înainte de a semna contractul, subiectului datelor cu caracter personal vor fi aduse la cunoștință prevederile art. 12 - 16 ale Legii nr. 133 din 08.07.2011 privind protecția datelor cu caracter personal.

2.10. Acordul privind prelucrarea datelor cu caracter personal nu se va efectua în cazul aplicării excepției menționate în alin. (5) al art. 5 al Legii Nr. 133 din 08 iulie 2011, când acordul scris nu este obligatoriu pentru executarea unui contract la care subiectul datelor cu caracter personal este parte sau pentru luarea unor măsuri înaintea încheierii contractului, la cererea acestuia.

2.11. În conformitate cu prevederile alin. (2) al art. 5 al Legii nr. 133 din 08.07.2011 consimțământul privind prelucrarea datelor cu caracter personal poate fi retras în orice moment de către subiectul datelor cu caracter personal. Totodată, retragerea consimțământului nu poate avea efect retroactiv.

         2.12. Angajaților întreprinderii se interzice de a colecta, stoca, etc. și transmite terțelor părți date cu caracter personal aflate în cadrul executării funcției, dacă funcția deținută nu prevede așa drepturi sau legislația nu prevede expres transmiterea unor așa date terțelor părți, fără consimțământul subiectului datelor cu caracter personal ale cărui date vor fi transmise (dezvăluite).

III. DREPTUL SUBIECTULUI DATELOR CU CARACTER PERSONAL

 3.1. La general, conform noului Regulament General privind Protecția Datelor (GDPR) European, prevede următoarele drepturi ale subiectului datelor cu caracter personal, care vor fi oferite subiecților datelor cu caracter personal din UE:

3.2. Până la efectuarea modificărilor corespunzătoare în legislația națională la cerințele GDPR, subiecții naționali au următoarele drepturi:

A) Dreptul de acces la datele cu caracter personal

Orice subiect al datelor cu caracter personal are dreptul să obțină de la operator, la cerere, fără întârziere şi în mod gratuit:

          a) confirmarea faptului că datele care îl privesc sunt sau nu sunt prelucrate de acesta, de asemenea informații referitoare la scopurile prelucrării, categoriile de date avute în vedere şi destinatarii sau categoriile de destinatari cărora le sunt dezvăluite;

          b) comunicarea, într-o formă inteligibilă şi într-un mod care nu necesită un echipament suplimentar, a datelor cu caracter personal care fac obiectul prelucrării, precum şi a oricărei informații disponibile privind originea acestor date;

          c) informații  privind  principiile de funcționare a mecanismului prin care se efectuează prelucrarea automatizată a datelor care vizează subiectul datelor cu caracter personal;

          d) informații cu privire la consecințele juridice generate de prelucrarea datelor cu caracter personal pentru subiectul acestor date;

e) informații privind modul de exercitare a dreptului de intervenție asupra datelor cu caracter personal.

      B) Dreptul de intervenție asupra datelor cu caracter personal

Orice subiect al datelor cu caracter personal are dreptul de a obţine de la operator sau persoana împuternicită de către acesta, la cerere şi în mod gratuit:

          a) rectificarea, actualizarea, blocarea sau ştergerea datelor cu Caracter personal a căror prelucrare contravine Legii nr. 133 din 08.07.2011, în special datorită caracterului incomplet sau inexact al datelor;

          b) notificarea  terţilor  cărora  le-au  fost  dezvăluite  datele cu caracter  personal despre operaţiunile efectuate conform lit. a), exceptând cazurile când această notificare se dovedeşte a fi imposibilă sau presupune un efort disproporţionat faţă de interesul legitim care ar putea fi lezat.

C) Dreptul de opoziție al subiectului datelor cu caracter personal

(1) Subiectul datelor cu caracter personal are dreptul de a se opune în orice moment, în mod gratuit, din motive întemeiate şi legitime legate de situația sa particulară, ca datele cu caracter personal care îl vizează să facă 

obiectul unei prelucrări, cu excepția cazurilor în care legea stabilește altfel. Dacă opoziția este justificată, prelucrarea efectuată de operator nu mai poate viza aceste date.

          (2) Subiectul datelor cu caracter personal are dreptul de a se opune în orice moment, în mod gratuit şi fără nici o justificare, ca datele care îl vizează să fie prelucrate pentru prospectare comercială. Operatorul sau persoana împuternicită de către operator este obligată să informeze subiectul despre dreptul de a se opune unei astfel de prelucrări înaintea dezvăluirii către terți a datelor sale cu caracter personal.

(3) Dreptul de opoziție al subiectului datelor cu caracter personal, care le poate exercita printr-o cerere scrisă adresată către: Societatea cu Răspundere Limitată ,,VERIX-GRUP’’, mun. Bălţi, str. Ștefan cel Mare 1B, Republica Moldova.

<!--[if !supportLists]-->D) <!--[endif]-->Accesul la justiție

Orice persoană care a suferit un prejudiciu în urma unei prelucrări de date cu caracter personal efectuată ilegal sau căreia i-au fost încălcate drepturile și interesele  garantate de lege, are dreptul de a sesiza instanța de judecată pentru repararea prejudiciilor materiale și morale.

IV. PERICOLELE, RISCURILE ȘI VULNERABILITATEA  SISTEMELOR INFORMAȚIONALE DE EVIDENȚĂ A DATELOR CU CARACTER PERSONAL PRELUCRATE

4.1. Securitatea informaţiei se defineşte ca capacitatea sistemului de prelucrare a informaţiei de a asigura în anumită perioadă de timp, posibilitatea de executare a cerinţelor stabilite după mărimea probabilităţii realizării evenimentelor, manifestate în: exodul informaţiei și modificarea sau pierderea de date, ce prezintă anumită valoare pentru deţinător.

4.2. Prin pericol se înţelege un eveniment sau o acţiune posibilă, orientată spre cauzarea prejudiciului resurselor sau infrastructurii informaţionale. Pericolele principale pentru securitatea informaţională sunt:

          a) colectarea şi utilizarea ilegală a informaţiei;

          b) încălcarea tehnologiei de prelucrare a informaţiei;

          c) implementarea în produsele software şi hardware a componentelor, care realizează funcţii, neprevăzute în documentaţia la aceste produse;

          d) elaborarea şi răspândirea programelor, care afectează funcţionarea normală a sistemelor informaţionale şi informaţionale de telecomunicaţii, precum şi a sistemelor securităţii informaţionale;

          e) compromiterea cheilor şi mijloacelor de protecţie criptografică a informaţiei;

f) influenţarea asupra sistemelor cu parolă - cheie de protecţie a sistemelor automatizate de prelucrare şi transmitere a informaţiei;

          g) implementarea dispozitivelor electronice pentru interceptarea informaţiei în mijloacele tehnice de prelucrare, păstrare şi transmitere a informaţiei prin canalele de comunicaţii;

          h) nimicirea, deteriorarea, distrugerea sau sustragerea suporturilor de informaţie mecanice sau a altor suporturi;

          i) utilizarea tehnologiilor informaţionale autohtone şi străine necertificate;

          4.3. Sursele pericolelor:

          a) infractorii;

          b) utilizatorii de rea-credinţă.

          4.4. Personalul care administrează sistemul sau doar utilizează calculatorul, reprezintă cea mai mare vulnerabilitate pentru securitatea acestuia, din motiv că dacă va decide să profite în mod fraudulos de oportunităţile sale, pentru obţinerea unor beneficii nemeritate, amplifică probabilitatea unor breşe de securitate în sistem, care  va deveni în pericol.

          4.5. De asemenea şi programatorii sau persoanele care intreţin sau repară calculatorul, pot fi corupţi sau forţaţi să divulge parole, informaţii sau căi de acces, cu alte cuvinte să compromită securitatea computerului.

4.6. Riscul este evenimentul capabil să exercite o influență asupra sistemului informațional gestionat:

4.7. Izvoarele pericolelor - sunt resursele informaţionale sau infrastructura informaţională.

4.8. Vulnerabilitatea sistemului reprezintă posibilitatea modificării sau distrugerii informației, adică atacul integrității ei fizice sau utilizării neautorizate a informațiilor, adică scurgerea lor.

4.9. Toate calculatoarele emit radiaţii electrice şi electromagnetice care pot fi interceptate, analizate şi descifrate. De aceea, informaţiile stocate şi transmise în și din sistemele de calcul şi reţele, devin vulnerabile.

4.10. Internetul este o structură deschisă, la care se poate conecta un număr nelimitat de calculatoare, fiind deci, greu de controlat.

4.11. Pericolele majore produse de incendiile, inundaţiile, cutremurele, fulgerele şi căderile de tensiune pot distruge echipamente de calcul şi datele utilizatorilor. Praful, umezeala şi temperatura variabilă pot avea de asemenea, efecte distructive. Unele tipuri de defecţiuni hardware ce pot compromite securitatea unui întreg sistem.

4.12. Liniile de comunicaţie şi conexiunile reţelelor sunt foarte vulnerabile la atacuri. Adesea este mai uşor să pătrunzi într-un sistem prin intermediul reţelei, decât în încăpere. Hackerii sunt pasionați de informatică care, de obicei au ca scop „spargerea” anumitor coduri, Baze de date, etc., fiind considerați infractori.

V. MĂSURI DE SECURITATE ŞI MIJLOACELOR DE PRELUCRARE A DATELOR CU CARACTER PERSONAL

5.1. În cadrul activităţii profesionale, ”VERIX-GRUP” S.R.L., gestionează și utilizează registrele menționate în pct. 2.2 al prezentei Politici de securitate, exclusiv în scopurile pentru care ele sunt create.

5.2. Accesul la datele personale prelucrate în registrele de evidență va fi restricționat, în dependență de funcția deținută, obligațiuni și împuterniciri, având la bază principiul: acces numai la informația necesară pentru executarea funcției, conform organigramei întreprinderii, fișei de post, cu semnarea unui acord de confidențialitate separat sau prin introducerea clauzei de confidențialitate, în contractul individual de muncă.

5.3. În domeniul securității datelor cu caracter personal, prin ordine pe întreprindere:

         a) vor fi numiți responsabilii pentru fiecare registru gestionat;

b) privind numirea comisiei de audit privind respectarea prevederilor Politicii de securitate și a legislației privind securitatea datelor cu caracter personal.

5.4. Persoana responsabilă de realizarea politicii de securitate a datelor cu caracter personal va asigura și va dispune de resurse suficiente (timp, resurse umane, echipament și buget) și va avea acces liber la informaţia necesară pentru îndeplinirea funcţiilor sale, în conformitate cu legislația în vigoare.

5.5. Toţi utilizatorii (inclusiv personalul care asigură întreţinerea tehnică, administratorii de reţea, programatorii și administratorii bazelor de date) vor avea un identificator personal (ID-ul utilizatorului), care nu trebuie să conţină semnalmentele nivelului de accesibilitate al utilizatorului. Pentru confirmarea ID-ului utilizatorului sunt utilizate parole.

5.6. Este autorizat accesul la sistemele informaţionale de date cu caracter personal în conformitate cu politica de administrare a accesului stabilită de deţinătorul de date cu caracter personal, în conformitate cu limitele accesului angajaților la date personale din fișa de post.

5.7. Drepturile de acces ale utilizatorilor la sistemul informaţional de date cu caracter personal sunt revizuite cu regularitate pentru asigurarea faptului, că nu au fost acordate drepturi de acces neautorizate (anual) și după oricare schimbare de statut al utilizatorului.

5.8. Se autorizează de către deţinătorii de date cu caracter personal realizarea fluxurilor informaţionale în procesul transmiterii acestora în interiorul și în afara sistemului informaţional de date cu caracter personal.

5.9. Accesul fără fir la sistemul informaţional de date cu caracter personal este documentat, supus monitorizării și controlului și este permis doar în cazul utilizării mijloacelor criptografice de protecţie a informaţiei.

5.10. Folosirea tehnologiilor fără fir se autorizează de persoanele responsabile ale registrului corespunzător de date cu caracter personal și numai după asigurarea condițiilor de securitate.

5.11. Cerințele concrete față de prelucrarea datelor cu caracter personal și față de mijloacele de prelucrare vor fi stabilite în regulamentele de realizare a Politicii de securitate pentru fiecare registru în parte.

5.12. Regulamentele privind realizarea politicii de securitate a prelucrării  datelor cu caracter personal se anexează și sunt parte integrală a prezentei Politici de securitate.

VI. GESTIONAREA INCIDENTELOR  ȘI TRANSMITEREA DATELOR CU CARACTER PERSONAL

6.1. În cazul producerii incidentelor de securitate, întreprinderea va întreprinde măsurile necesare pentru depistarea sursei de producere a incidentului, va efectua analiza acestuia, va înlătura cauzele incidentului de securitate cu informarea și în termen de până la 72 ore din momentul producerii incidentului de securitate, va informa CNPDCP al Republicii Moldova.

6.2. În cadrul controalelor efectuate de CNPDCP al Republicii Moldova i se va oferi suportul necesar și se va asigura accesul la informațiile necesare relevante obiectului controlului.

6.3. Întreprinderea este obligată să comunice informaţiile solicitate, în termen de 15 zile de la data primirii cererii, cu respectarea opţiunii solicitantului, ca răspunsul să fie transmis la o anumită adresă, care poate fi şi de poşta electronică sau printr-un serviciu de corespondenţă care să asigure că predarea i se va face numai solicitantului.

6.4. În cazul în care o persoană nu a primit răspuns din partea operatorului la cererea formulată în termen de 15 zile sau este nemulţumită de conţinutul răspunsului primit, se poate adresa cu o plângere către CNPDCP.

6.5. Transmiterea datelor cu caracter personal terțelor părți, care conform prevederilor legale nu sunt obligatorii (alți operatori de date cu caracter personal) se efectuează numai după semnarea acordul în scris al subiectului de date cu caracter personal ale cărui date personale urmează a fi transmise. În acord se menționează clar în baza la ce document și cui îi va fi dezvăluită informația, întru a exclude cazul de transmitere și altor operatori sau persoane neautorizate în baza acordului semnat.

6.6. Transmiterea datelor cu caracter personal organelor de stat, care conform legislației sunt obligatorii (FISC, CNAS, CNAM, instanțe de judecată, organe urmărire penale și altele, în dependență de cerințele legislației genurilor de activitate desfășurate de întreprindere) se efectuează fără a solicita acordul subiectului de date cu caracter personal.

6.7. În cazul în care rețelele comunicaționale prezintă riscuri pentru confidenţialitatea şi securitatea datelor cu caracter personal, vor fi utilizate metode tradiţionale (expediere poştală cu aviz, înmânarea personală, etc.).

VII. AUDITUL ȘI DĂRILE DE SEAMĂ

7.1. În perioada 1-15 decembrie, anual, comisia numită prin ordinul întreprinderii verifică cel puţin îndeplinirea măsurilor tehnice şi/sau organizaţionale luate pentru detectarea unor disfuncţionalităţi în ceea ce priveşte folosirea în procesul prelucrării datelor cu caracter personal a sistemelor de telecomunicaţii şi/sau efectuarea îmbunătăţirilor, în caz de necesitate.

7.2. Rezultatele auditului securităţii în sistemul informaţional de date cu caracter personal și mijloacele de efectuare a auditului, se protejează contra  accesului neautorizat prin instituirea măsurilor de securitate adecvate, inclusiv prin asigurarea confidenţialităţii și integrităţii acestora.

7.3. Durata stocării rezultatelor auditului securităţii în sistemul informaţional de date cu caracter personal nu este mai mică de 2 ani, pentru a fi posibil folosirea acestora în calitate de probe în cazul incidentelor de securitate, unor eventuale  investigaţii sau procese judiciare. În cazul în care investigările sau procesele judiciare se prelungesc, rezultatele auditului se păstrează pe toată durata acestora.

7.4. Prelucrarea incidentelor va include nu doar depistarea, dar şi analiza, preîntâmpinarea, înlăturarea lor şi restabilirea securităţii.

VIII. DISPOZIŢII FINALE

            8.1. Prezenta Politică de securitate, Regulamentele și Instrucțiunea anexată se revizuesc periodic, cel puțin o dată în an, în caz de incidente de securitate, precum și la necesitate.

            8.2. Politică de securitate și Regulamentele anexate se aduc la cunoştinţa angajaților contra semnăturii.

Anexe:

1. Regulamentul privind realizarea politicii de securitate a prelucrării datelor cu caracter personal în cadrul sistemului de evidență contabilă și resurse umane.

2. Regulamentul privind realizarea politicii de securitate a prelucrării datelor cu caracter personal în cadrul registrului de evidență a clienților.

Director general  ____________Tcacenco Vladimir