CAPITOLUL I: Dispoziţii generale

Articolul 1
În exercitarea atribuţiilor de control prevăzute de Regulamentul (UE) 2016/679 al Parlamentului European şi al Consiliului din 27 aprilie 2016 privind protecţia persoanelor fizice în ceea ce priveşte prelucrarea datelor cu caracter personal şi privind libera circulaţie a acestor date şi de abrogare a Directivei 95/46/CE (Regulamentul general privind protecţia datelor) , de Legea nr. 506/2004 privind prelucrarea datelor cu caracter personal şi protecţia vieţii private în sectorul comunicaţiilor electronice, cu modificările şi completările ulterioare, de Legea nr. 102/2005 privind înfiinţarea, organizarea şi funcţionarea Autorităţii Naţionale de Supraveghere a Prelucrării Datelor cu Caracter Personal, cu modificările şi completările ulterioare, de Legea nr. 190/2018 privind măsuri de punere în aplicare a Regulamentului (UE) 2016/679 al Parlamentului European şi al Consiliului din 27 aprilie 2016 privind protecţia persoanelor fizice în ceea ce priveşte prelucrarea datelor cu caracter personal şi privind libera circulaţie a acestor date şi de abrogare a Directivei 95/46/CE (Regulamentul general privind protecţia datelor) , precum şi de celelalte acte normative aplicabile din domeniul protecţiei datelor, Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal, denumită în continuare ANSPDCP, efectuează investigaţii, cu respectarea prevederilor prezentei proceduri.

Articolul 2
Investigaţiile se pot efectua:
a) din oficiu;
b) la plângere.

Articolul 3
Investigaţiile din oficiu se pot efectua:
a) la propunerea compartimentelor cu atribuţii de control ale ANSPDCP;
b) la propunerea preşedintelui sau vicepreşedintelui ANSPDCP, printr-o rezoluţie scrisă;
c) la propunerea celorlalte compartimente din cadrul ANSPDCP;
d) ca urmare a transmiterii notificărilor de încălcare a securităţii datelor cu caracter personal;
e) pentru verificarea unor date şi informaţii cu privire la prelucrarea datelor cu caracter personal, obţinute de către ANSPDCP din alte surse decât cele care fac obiectul unor plângeri, inclusiv pe baza sesizărilor sau a informaţiilor primite de la o altă autoritate de supraveghere sau de la o altă autoritate publică;
f) în vederea cooperării internaţionale, precum şi cu celelalte autorităţi de supraveghere din statele membre, în domeniul protecţiei datelor cu caracter personal, inclusiv în cadrul operaţiunilor comune şi al acordării de asistenţă reciprocă.

Articolul 4
(1) Propunerea de efectuare a unei investigaţii din oficiu se face printr-o notă motivată care cuprinde entitatea supusă investigaţiei, avizată de şeful ierarhic şi aprobată de preşedintele ANSPDCP.
(2) În cazul plângerilor, efectuarea investigaţiilor pentru soluţionarea acestora se aprobă prin rezoluţia scrisă a preşedintelui ANSPDCP care poate delega această atribuţie şefului compartimentului de specialitate.

Articolul 5
(1) Investigaţiile din oficiu se declanşează potrivit prevederilor legale aplicabile, în conformitate cu condiţiile prevăzute de prezenta procedură, şi se efectuează pentru verificarea unor date şi informaţii cu privire la prelucrarea datelor cu caracter personal, obţinute de către ANSPDCP din alte surse decât cele care fac obiectul unor plângeri. Datele şi informaţiile pot fi obţinute din surse cum ar fi: corespondenţa primită de ANSPDCP, mass-media, accesarea reţelei de internet, documentele de constatare întocmite în urma efectuării altor investigaţii sau alte documente de la nivelul ANSPDCP, activităţile de cooperare cu entităţi de drept public sau privat ori cu autorităţi de supraveghere din străinătate.
(2) Investigaţiile din oficiu se pot efectua şi sub formă de audituri privind protecţia datelor.

Articolul 6
(1) Investigaţiile se pot efectua şi pentru soluţionarea plângerilor primite de ANSPDCP, în conformitate cu prezenta procedură.
(2) Analizarea şi soluţionarea plângerilor se realizează în conformitate cu Procedura de primire şi soluţionare a plângerilor, aprobată prin decizie a preşedintelui ANSPDCP.

Articolul 7
Ca urmare a transmiterii notificărilor de încălcare a securităţii datelor cu caracter personal, investigaţiile se efectuează în baza unei note întocmite de titularul de lucrare, avizată de şeful ierarhic/şeful compartimentului de specialitate/înlocuitorul acestuia şi aprobată de preşedintele ANSPDCP/înlocuitorul acestuia.

Articolul 8
În cadrul investigaţiilor pot fi verificate orice aspecte privind respectarea regulilor de prelucrare a datelor cu caracter personal.

Articolul 9
(1) Personalul de control al ANSPDCP are dreptul să efectueze investigaţii şi este împuternicit prin decizie a preşedintelui ANSPDCP.
(2) Personalul de control al ANSPDCP se legitimează pe baza legitimaţiei de control. Se interzice personalului de control să utilizeze legitimaţia de control în afara atribuţiilor de serviciu pentru care a fost desemnat.
(3) În cazul investigaţiilor efectuate pe teren este obligatorie şi emiterea unei împuterniciri în care să fie indicat numele/denumirea entităţii controlate.

Articolul 10
Şeful compartimentului/compartimentelor cu atribuţii de control nominalizează persoanele care vor efectua investigaţia şi stabileşte data sau perioada efectuării acesteia.

Articolul 11
Personalul de control desemnat să facă parte din echipa de control are obligaţia de a anunţa în prealabil conducerea ANSPDCP în cazul existenţei unor motive ce ar putea determina un conflict de interese, potrivit legislaţiei aplicabile, în legătură cu investigaţia pentru care a fost nominalizat, în vederea schimbării componenţei echipei de control.

Articolul 12
(1) În cazul operaţiunilor comune desfăşurate pe teritoriul României la care participă şi personalul desemnat de o altă autoritate de supraveghere dintr-un stat membru al Uniunii Europene, acesta îşi îndeplineşte atribuţiile în limitele împuternicirii acordate de preşedintele ANSPDCP.
(2) În cazul operaţiunilor comune ale autorităţilor de supraveghere desfăşurate pe teritoriul altor state membre, personalul de control al ANSPDCP va fi desemnat de către preşedintele ANSPDCP/înlocuitorul acestuia, prin rezoluţie scrisă.
(3) Personalul de control desemnat să participe în cadrul operaţiunilor comune ale autorităţilor de supraveghere desfăşurate pe teritoriul altor state membre îşi exercită competenţele de investigare sub coordonarea şi în prezenţa membrilor personalului autorităţii de supraveghere din statul membru de primire.

Articolul 13
Actele de control (adresa de anunţare a entităţii controlate şi împuternicirea, după caz) şi celelalte documente (ordinele de deplasare şi referatul de deplasare, dacă este cazul) se întocmesc în prealabil de către titularul desemnat şi se supun spre avizare/semnare şefului ierarhic şi spre semnare/aprobare preşedintelui ANSPDCP sau înlocuitorilor acestora, după caz.

---

Articolul 14
(1) Investigaţiile pot fi efectuate cu înştiinţarea entităţii controlate sau se pot desfăşura inopinat, fără anunţarea în prealabil în scris a entităţii controlate.
(2) În cazurile în care investigaţia este efectuată cu înştiinţarea entităţii controlate, aceasta se efectuează începând cu data şi ora anunţate de ANSPDCP.

Articolul 15
ANSPDCP poate amâna sau suspenda efectuarea investigaţiei, inclusiv la solicitarea entităţii controlate, pentru motive justificate.

Articolul 16
(1) Investigaţiile pot fi efectuate pe teren, la sediul autorităţii ori în scris.
(2) Modalitatea de efectuare a unei investigaţii la sediul autorităţii ori în scris se stabileşte de către şeful ierarhic/înlocuitorul acestuia prin rezoluţie scrisă.

CAPITOLUL II: Efectuarea investigaţiilor pe teren

Articolul 17
(1) Investigaţiile pe teren constau în verificări efectuate la sediul/domiciliul/punctul de lucru sau alte locaţii unde îşi desfăşoară activitatea entitatea controlată sau locaţii care au legătură cu prelucrarea în cauză, după caz.
(2) În cadrul investigaţiilor efectuate pe teren, personalul de control al ANSPDCP desfăşoară următoarele activităţi:
a) deplasarea la sediul/domiciliul/punctul de lucru sau alte locaţii unde îşi desfăşoară activitatea entitatea controlată;
b) prezentarea legitimaţiei de control şi a împuternicirii, după caz, reprezentanţilor entităţii controlate, care vor asigura participarea persoanelor competente să dea relaţii/informaţii în domeniul controlat. Persoanele desemnate de entitatea controlată/responsabilul pentru protecţia datelor participă la efectuarea controlului, prin furnizarea informaţiilor şi a documentelor solicitate de către echipa de control, şi semnează actele de control încheiate;
c) în situaţiile prevăzute de lege, prezentarea autorizaţiei judiciare emise de către preşedintele Curţii de Apel Bucureşti sau de către un judecător delegat de acesta;
d) solicitarea înregistrării ordinului de deplasare şi a împuternicirii, dacă este cazul;
e) înscrierea în registrul de control al entităţii controlate a datelor prevăzute la art. 3 alin. (2) din Legea nr. 252/2003 privind registrul unic de control, dacă este cazul;
f) prezentarea obiectivelor investigaţiei;
g) verificarea tuturor aspectelor care au legătură cu obiectul investigaţiei prin solicitarea oricăror informaţii legate de obiectivele controlului;
h) verificarea oricărui document, echipament, mijloc sau suport de stocare a datelor necesare desfăşurării investigaţiei;
i) ridicarea documentelor, în copie certificată de către entitatea controlată, sau a înregistrărilor relevante care au legătură cu obiectul controlului şi anexarea acestora la procesul-verbal de constatare/sancţionare;
j) întocmirea procesului-verbal de constatare/sancţionare, prin evidenţierea situaţiilor prezentate de entitatea controlată, a declaraţiilor reprezentanţilor acesteia şi a constatărilor proprii şi aplicarea de sancţiuni contravenţionale sau a altor tipuri de măsuri corective, după caz;
k) aplicarea sancţiunii amenzii în situaţia în care cuantumul acesteia nu depăşeşte echivalentul în lei al sumei de 300.000 euro;
l) aplicarea măsurilor corective prevăzute de lege;
m) întocmirea planului de remediere în situaţiile prevăzute de lege;
n) formularea recomandărilor necesare pentru remedierea deficienţelor constatate, după caz;
o) înmânarea/comunicarea către entitatea controlată a copiei procesului-verbal de constatare/sancţionare.
(3) În cadrul investigaţiilor efectuate pe teren, personalul de control al ANSPDCP are următoarele obligaţii:
a) să ţină legătura cu ANSPDCP şi să comunice în principal şefului ierarhic sau înlocuitorului acestuia orice situaţie deosebită intervenită care are legătură cu realizarea controlului;
b) să aibă un comportament decent în relaţia cu entitatea controlată;
c) în realizarea investigaţiei, personalul de control poate solicita asistenţă din partea organelor de poliţie. Solicitarea de asistenţă poate interveni anterior investigaţiei în condiţiile în care există indicii privind o posibilă opoziţie la investigaţie sau pe parcursul acesteia;
d) să păstreze secretul profesional pe termen nelimitat asupra informaţiilor confidenţiale sau clasificate la care a avut acces.

Articolul 18
În situaţia în care reprezentantul legal al entităţii controlate nu este prezent în timpul efectuării investigaţiei, acesta are obligaţia de a desemna în scris sau de a împuternici o persoană/persoane care să reprezinte entitatea controlată.

Articolul 19
În cadrul investigaţiei, entitatea controlată are, în principal, următoarele obligaţii:
a) să permită personalului de control, fără întârziere, începerea şi derularea investigaţiei şi să asigure suportul necesar personalului de control;
b) să asigure accesul personalului de control în incintele în care îşi desfăşoară activitatea, la orice echipament, mijloc sau suport de prelucrare/stocare a datelor, în vederea efectuării verificărilor necesare desfăşurării investigaţiei, inclusiv la cele care pot fi accesate la distanţă;
c) să pună la dispoziţia personalului de control orice informaţii şi documente indiferent de suportul de stocare, necesare desfăşurării investigaţiei, inclusiv copii de pe acestea;
d) să pună la dispoziţia ANSPDCP documentele solicitate, certificate pentru conformitate cu originalul;
e) să furnizeze într-o formă completă documentele, informaţiile, înregistrările şi evidenţele solicitate, precum şi orice lămuriri necesare, fără a putea opune caracterul confidenţial al acestora, în condiţiile legii;
f) să permită personalului de control utilizarea echipamentelor de înregistrare şi stocare audiovideo/foto ori de câte ori echipa de control consideră că este necesar în cadrul derulării activităţii de control.

Articolul 20
(1) În situaţia în care personalul de control este împiedicat în orice mod în exercitarea atribuţiilor, ANSPDCP poate solicita autorizarea judiciară, dată prin încheiere de către preşedintele Curţii de Apel Bucureşti sau de către un judecător delegat de acesta, în condiţiile legii.
(2) Autorizarea judiciară pentru efectuarea investigaţiei se solicită de către compartimentul cu atribuţii de reprezentare în instanţă pe baza documentelor puse la dispoziţie de către compartimentul/compartimentele cu atribuţii de control.
(3) O copie a autorizaţiei judiciare pentru efectuarea investigaţiei se comunică entităţii controlate înainte de începerea investigaţiei.
(4) Încheierea privind autorizarea judiciară poate fi atacată cu contestaţie la Înalta Curte de Casaţie şi Justiţie, în termen de 72 de ore de la comunicarea acesteia. Contestaţia nu este suspensivă de executare.
(5) În cazul în care investigaţia trebuie desfăşurată, inclusiv simultan, în mai multe spaţii deţinute de către entitatea controlată, ANSPDCP va introduce o singură cerere, instanţa pronunţându-se printr-o încheiere în care se vor indica spaţiile în care urmează să se desfăşoare investigaţia.
(6) În toate situaţiile investigaţia nu poate începe înainte de ora 8,00 şi nu poate continua după ora 18,00 şi trebuie efectuată în prezenţa persoanei la care se efectuează investigaţia sau a reprezentantului său. Investigaţia poate continua şi după ora 18,00 numai cu acordul persoanei la care se efectuează aceasta sau a reprezentantului său.
(7) Identificarea şi păstrarea obiectelor, precum şi punerile de sigilii se fac conform dispoziţiilor Legii nr. 135/2010 privind Codul de procedură penală, cu modificările şi completările ulterioare.
(8) În vederea evitării riscului distrugerii unor documente relevante pentru investigaţii, personalul de control poate proceda la aplicarea de sigilii în cadrul investigaţiilor desfăşurate de ANSPDCP în situaţia nefinalizării investigaţiei în ziua în care aceasta a început, precum şi în orice alte situaţii în care se justifică această măsură.
(9) Entitatea controlată are obligaţia să asigure integritatea sigiliilor aplicate până la ridicarea acestora de către personalul de control. În cazul înlăturării sau distrugerii sigiliilor, personalul de control va proceda potrivit prevederilor art. 61 din Codul de procedură penală în vederea sesizării organelor de cercetare penală cu privire la săvârşirea infracţiunii de rupere de sigilii prevăzută de art. 260 din Legea nr. 286/2009 privind Codul penal, cu modificările şi completările ulterioare.
(10) Personalul de control va consemna în procesul-verbal de constatare/sancţionare activitatea de punere de sigilii, respectiv ridicarea acestora.

Articolul 21
În cadrul efectuării investigaţiilor, personalul de control poate propune printr-o notă, avizată/semnată de şeful ierarhic şi aprobată de preşedintele ANSPDCP/înlocuitorul acestuia, efectuarea de expertize, în condiţiile legii.

Articolul 22
(1) În cadrul investigaţiilor, personalul de control poate audia persoanele ale căror declaraţii sunt considerate relevante şi necesare desfăşurării investigaţiei.
(2) Rezultatul audierii se consemnează de către personalul de control într-o notă de audiere, semnată de participanţi. În situaţia în care persoanele audiate refuză să semneze nota de audiere, se va face menţiune în acest sens pe respectivul înscris.
(3) Nota de audiere se anexează la procesul-verbal de constatare/sancţionare.

---

Articolul 23
(1) Rezultatul investigaţiei se consemnează în procesul-verbal de constatare/sancţionare încheiat de personalul de control.
(2) În procesul-verbal de constatare/sancţionare încheiat, personalul de control consemnează în mod obligatoriu următoarele:
a) data şi locul încheierii procesului-verbal de constatare/sancţionare;
b) datele de identificare şi funcţiile membrilor echipei de control, inclusiv numărul legitimaţiei de control;
c) numărul şi data deciziei de împuternicire emise de preşedintele ANSPDCP şi, după caz, numărul şi data împuternicirii pentru investigaţiile efectuate pe teren şi neanunţate în prealabil în scris;
d) obiectul controlului;
e) datele de identificare ale entităţii controlate;
f) datele de identificare şi funcţiile reprezentanţilor entităţii controlate;
g) constatările rezultate în urma verificărilor efectuate;
h) descrierea faptei contravenţionale, cu indicarea datei şi locului în care a fost săvârşită fapta, a împrejurărilor ce pot servi la aprecierea gravităţii faptei şi, eventual, a pagubelor, a actului normativ prin care se stabileşte şi se sancţionează contravenţia, precum şi a măsurilor corective şi/sau a sancţiunii aplicate, dacă este cazul;
i) termenul de exercitare a căii de atac şi instanţa la care se depune plângerea, în cazul aplicării unei sancţiuni contravenţionale;
j) dacă s-au ridicat documente sau alte materiale, felul şi natura acestora;
k) dacă reprezentanţii entităţii controlate, care au participat la activitatea de control, au refuzat să consemneze obiecţiunile cu privire la conţinutul procesului-verbal de constatare/sancţionare, după ce le-a fost adus la cunoştinţă acest drept;
l) menţiuni privind înmânarea/comunicarea procesului-verbal de constatare/sancţionare, în copie, reprezentanţilor entităţii controlate;
m) motivele pentru care reprezentanţii entităţii controlate nu au semnat procesul-verbal de constatare/sancţionare, cu indicarea datelor de identificare a martorului care atestă motivele nesemnării procesului-verbal, în cazul în care acesta există, sau a motivelor care au condus la întocmirea procesului-verbal în lipsa unui martor.
(3) Procesul-verbal de constatare/sancţionare se întocmeşte într-un singur exemplar, o copie a acestuia înmânându-se reprezentantului legal sau desemnat al entităţii controlate.
(4) Procesul-verbal de constatare/sancţionare ştampilat de ANSPDCP se semnează pe fiecare pagină completată de către membrii echipei de control şi de către reprezentanţii legali sau desemnaţi ai entităţii controlate.
(5) În cazul în care reprezentantul legal sau desemnat al entităţii controlate nu este prezent sau, deşi prezent, refuză să semneze procesul-verbal de constatare/sancţionare, copia acestuia se comunică în termen de cel mult două luni de la data încheierii procesului-verbal, prin poştă, cu aviz de primire, prin afişarea la domiciliul sau sediul contravenientului sau, în mod excepţional, prin intermediul executorilor judecătoreşti. Operaţiunea de afişare se consemnează într-un proces-verbal, semnat de cel puţin un martor.
(6) Procesul-verbal de constatare/sancţionare este titlu de creanţă şi înştiinţare de plată.

Articolul 24
(1) Sancţiunile contravenţionale principale aplicate de ANSPDCP sunt avertismentul şi amenda.
(2) În urma investigaţiilor efectuate, prin procesul-verbal de constatare/sancţionare sau prin decizie a preşedintelui ANSPDCP, se poate emite o avertizare pentru entitatea controlată, în cazul în care există posibilitatea ca, prin operaţiunile de prelucrare pe care un operator sau o persoană împuternicită de operator intenţionează să le efectueze, să se încalce legislaţia aplicabilă. Decizia preşedintelui are la bază procesul-verbal de constatare/sancţionare încheiat de personalul de control şi documentele aferente.
(3) Aplicarea sancţiunilor se face prin procesul-verbal de constatare/sancţionare încheiat de personalul de control sau prin decizie a preşedintelui ANSPDCP, în condiţiile legii.
(4) În situaţia în care cuantumul amenzii depăşeşte echivalentul în lei al sumei de 300.000 euro, aplicarea amenzii se efectuează prin decizie a preşedintelui ANSPDCP, care are la bază procesul-verbal de constatare/sancţionare şi raportul personalului de control.
(5) În cazul prelucrărilor transfrontaliere care atrag competenţa ANSPDCP în calitate de autoritate principală, precum şi în cazul în care autoritatea de supraveghere dintr-un stat membru al Uniunii Europene a refuzat propunerea de a acţiona în calitate de autoritate de supraveghere principală, aplicarea sancţiunilor şi a celorlalte măsuri corective se efectuează prin decizie a preşedintelui ANSPDCP, care are la bază procesul-verbal de constatare/sancţionare şi raportul personalului de control.
(6) În situaţiile prevăzute la alin. (4) şi (5) , deciziile se redactează de către personalul de control, se avizează de către şeful compartimentului/compartimentelor cu atribuţii de control care a/au efectuat investigaţia, şeful compartimentului care a propus investigaţia, după caz, şi şeful compartimentului cu atribuţii de avizare a legalităţii, şi se semnează de preşedintele ANSPDCP sau de înlocuitorul acestuia.

Articolul 25
(1) În urma efectuării investigaţiilor, pe lângă aplicarea sancţiunilor contravenţionale prevăzute de lege, ANSPDCP poate dispune şi alte măsuri corective şi poate formula recomandări.
(2) Măsurile corective pot fi dispuse prin procesul-verbal de constatare/sancţionare de către personalul de control sau se pot dispune prin decizie a preşedintelui ANSPDCP, după caz.
(3) Măsurile corective care constau în obligarea operatorului sau a persoanei împuternicite de operator să respecte cererile persoanei vizate de exercitare a drepturilor, să asigure conformitatea operaţiunilor de prelucrare cu dispoziţiile legale aplicabile, obligarea operatorului să informeze persoana vizată cu privire la o încălcare a protecţiei datelor cu caracter personal pot fi dispuse prin procesul-verbal de constatare/sancţionare sau prin decizie a preşedintelui ANSPDCP.
(4) Măsurile corective care constau, după caz, în limitarea temporară sau definitivă, interdicţia asupra prelucrării, rectificarea sau ştergerea datelor cu caracter personal, restricţionarea prelucrării, notificarea acestor acţiuni destinatarilor cărora le-au fost divulgate datele cu caracter personal, retragerea unei certificări sau obligarea organismului de certificare să retragă o certificare eliberată sau să nu elibereze o certificare în cazul în care cerinţele de certificare nu sunt sau nu mai sunt îndeplinite, suspendarea fluxurilor de date către un destinatar dintr-o ţară terţă sau către o organizaţie internaţională se dispun numai prin decizie a preşedintelui ANSPDCP.
(5) Deciziile prin care s-a dispus aplicarea măsurilor corective se redactează de către personalul de control, se avizează de către şeful compartimentului/compartimentelor cu atribuţii de control care a/au efectuat investigaţia, şeful compartimentului care a propus investigaţia, după caz, şi şeful compartimentului cu atribuţii de avizare a legalităţii şi se semnează de preşedintele ANSPDCP sau de înlocuitorul acestuia.
(6) Decizia trebuie să conţină în mod obligatoriu următoarele elemente: datele de identificare ale ANSPDCP şi numele reprezentantului legal al acesteia, datele de identificare ale operatorului/persoanei împuternicite de operator, codul numeric personal, după caz, descrierea faptelor şi a împrejurărilor care pot fi avute în vedere la individualizarea măsurii, indicarea temeiului legal potrivit căruia se stabileşte şi se sancţionează fapta, măsurile corective aplicate, termenul şi modalitatea de plată a amenzii, după caz, termenul de exercitare a căii de atac şi instanţa de judecată competentă.
(7) Decizia prin care s-a dispus aplicarea măsurilor corective se comunică entităţii controlate.
(8) După expirarea termenului dispus pentru aplicarea măsurilor corective, în cazul în care entitatea controlată nu a făcut dovada luării măsurilor dispuse de ANSPDCP, se poate efectua o nouă investigaţie, cu respectarea prezentei proceduri.
(9) Urmărirea respectării măsurilor dispuse în urma efectuării investigaţiilor se realizează de către personalul de control, în condiţiile reglementărilor legale aplicabile.

Articolul 26
Amenda administrativă, avertismentul şi avertizarea pot fi aplicate în mod distinct sau alături de alte măsuri corective.

Articolul 27
În cazul contravenienţilor care nu au făcut dovada achitării amenzii într-un termen de 15 zile de la înmânarea, respectiv de la comunicarea procesului-verbal de constatare/sancţionare sau a deciziei, echipa de control transmite titlul executoriu către organele de executare silită, potrivit legii.

Articolul 28
(1) Împotriva procesului-verbal de constatare/sancţionare şi/sau a deciziei de aplicare a măsurilor corective, după caz, operatorul sau persoana împuternicită de operator poate introduce contestaţie la secţia de contencios administrativ a tribunalului competent, în termen de 15 de zile de la data înmânării, respectiv de la data comunicării procesului-verbal de constatare/sancţionare sau a deciziei preşedintelui ANSPDCP.
(2) Introducerea contestaţiei suspendă numai plata amenzii, până la pronunţarea unei hotărâri judecătoreşti definitive.

Articolul 29
(1) ANSPDCP poate dispune, prin decizie a preşedintelui, publicarea de către operator sau persoana împuternicită de operator a oricărei măsuri corective aplicate, cu suportarea de către aceştia a costurilor aferente, pe baza unei propuneri motivate sau a rezoluţiei preşedintelui.
(2) ANSPDCP poate dispune, prin decizie a preşedintelui, aplicarea unei amenzi cominatorii de până la 3.000 de lei pentru fiecare zi de întârziere, calculată de la data stabilită prin decizie, în cazul nerespectării măsurilor corective aplicate sau în cazul refuzului tacit sau expres de furnizare a tuturor informaţiilor şi documentelor solicitate în cadrul procedurii de investigaţie ori în cazul refuzului de supunere la investigaţie, potrivit legii. Decizia preşedintelui ANSPDCP constituie titlu executoriu.

Articolul 30
Echipa de control poate propune prin notă avizată de şeful ierarhic/înlocuitorul acestuia şi aprobată de preşedintele ANSPDCP/înlocuitorul acestuia sesizarea altor autorităţi competente, după caz.

Articolul 31
În cazul investigaţiilor efectuate la propunerea altor compartimente din cadrul ANSPDCP, rezultatele investigaţiilor se comunică acestor compartimente cu avizul şefului ierarhic/înlocuitorului, prin transmiterea unei note însoţite de o copie a procesului-verbal de constatare/sancţionare.

---

CAPITOLUL III: Efectuarea investigaţiilor la sediul ANSPDCP

Articolul 32
(1) În cazul investigaţiilor efectuate la sediul ANSPDCP, personalul de control desemnat transmite o adresă de convocare a reprezentanţilor entităţii controlate, cu precizarea datei şi orei de începere a investigaţiei. În adresă se menţionează obligaţia entităţii controlate de a se prezenta la sediul ANSPDCP, după caz, cu documente, înregistrări relevante, echipamente informatice în funcţie de obiectul controlului, actele de identitate ale reprezentantului legal/persoanei împuternicite şi ale entităţii controlate, inclusiv cu ştampila în cazul autorităţilor publice şi registrul de control, dacă este cazul.
(2) Investigaţiile la sediul ANSPDCP se desfăşoară cu respectarea regulilor corespunzătoare aplicabile din prezenta procedură.
(3) În mod excepţional, după caz, procesul-verbal de constatare/sancţionare poate fi încheiat la sediul autorităţii, fără convocarea reprezentanţilor entităţii controlate, atunci când se decide că există dovezi suficiente/relevante pentru finalizarea investigaţiei, pe baza notei echipei de control aprobate de şeful ierarhic.
(4) Entitatea controlată poate transmite obiecţiuni la procesul-verbal de constatare/sancţionare, care fac parte integrantă din acesta, în termen de 15 zile de la data înmânării/comunicării procesului-verbal de constatare/sancţionare.
(5) Procesul-verbal de constatare/sancţionare necontestat la instanţa competentă în termen de 15 zile, potrivit legii, constituie titlu executoriu, fără vreo altă formalitate.
(6) În cazul investigaţiilor la sediul ANSPDCP, procedura de întocmire, comunicare a procesului-verbal de constatare/sancţionare şi a deciziilor preşedintelui ANSPDCP, precum şi de urmărire a măsurilor dispuse prin procesul-verbal este cea aplicabilă în cazul investigaţiilor pe teren.

CAPITOLUL IV: Efectuarea investigaţiilor în scris

Articolul 33
(1) În cazul investigaţiilor în scris, se transmite o adresă către entitatea controlată, întocmită de titularul de lucrare şi semnată, după caz, de către şeful ierarhic sau preşedintele ANSPDCP/înlocuitorii acestora, prin care se solicită informaţii, date şi documente necesare soluţionării cazului supus investigaţiei. În adresă se menţionează obligaţia entităţii controlate de a răspunde în scris, cu anexarea de dovezi în copii certificate pentru conformitate cu originalul şi în cadrul termenului stabilit de ANSPDCP.
(2) În funcţie de răspunsul primit, se poate decide continuarea investigaţiei în scris sau pe teren, cu respectarea regulilor corespunzătoare aplicabile, sau se poate decide finalizarea investigaţiei prin încheierea procesului-verbal de constatare/sancţionare la sediul ANSPDCP.
(3) În cazul în care, în urma investigaţiilor în scris, nu au fost reţinute fapte de natură să impună sancţionarea contravenţională a entităţii controlate, finalizarea investigaţiei în scris se realizează printr-o notă de finalizare a investigaţiei, întocmită de personalul de control/titularul desemnat, avizată de şeful ierarhic şi aprobată de preşedintele ANSPDCP, care poate delega această atribuţie şefului compartimentului de control care a efectuat investigaţia.
(4) Entitatea controlată poate transmite obiecţiuni la procesul-verbal de constatare/sancţionare, care fac parte integrantă din acesta, în termen de 15 zile de la data înmânării/comunicării procesului-verbal de constatare/sancţionare.
(5) Procesul-verbal de constatare/sancţionare necontestat la instanţa competentă în termen de 15 zile, potrivit legii, constituie titlu executoriu, fără vreo altă formalitate.

Articolul 34
În cazul investigaţiilor în scris, procedura de întocmire, comunicare a procesului-verbal de constatare/sancţionare şi a deciziilor preşedintelui ANSPDCP, precum şi de urmărire a măsurilor dispuse prin procesul-verbal este cea aplicabilă în cazul investigaţiilor pe teren.

CAPITOLUL V: Efectuarea investigaţiilor la autorităţile/organismele publice

Articolul 35
(1) În cazul constatării încălcării prevederilor legale de către autorităţile/organismele publice, echipa de control încheie un proces-verbal de constatare/sancţionare prin care se aplică sancţiunea avertismentului şi la care anexează un plan de remediere.
(2) Termenul de remediere se stabileşte în funcţie de riscurile asociate prelucrării, precum şi de demersurile necesar a fi îndeplinite pentru asigurarea conformităţii prelucrării.
(3) Modelul planului de remediere care se anexează procesului-verbal de constatare/sancţionare este cel prevăzut în anexa la Legea nr. 190/2018.
(4) În termen de 10 zile de la data expirării termenului de remediere, ANSPDCP poate să reia controlul. Dacă în urma controlului se constată faptul că autorităţile/organismele publice nu au dus la îndeplinire în totalitate măsurile prevăzute în planul de remediere, ANSPDCP poate aplica sancţiunea contravenţională a amenzii, cu luarea în considerare a criteriilor prevăzute la art. 83 alin. (2) din Regulamentul general privind protecţia datelor.
(5) În cazul investigaţiilor la autorităţile/organismele publice, sunt aplicabile, după caz, prevederile prezentei proceduri.

---

CAPITOLUL VI: Dispoziţii finale

Articolul 36
(1) Toate actele care trebuie comunicate entităţii controlate, cu excepţia celor prevăzute la art. 23 alin. (5) , se transmit prin poştă cu confirmare de primire/fax/e-mail sau prin intermediul executorilor judecătoreşti, în mod excepţional.
(2) Comunicarea actelor se efectuează de către personalul de control care a efectuat investigaţia.

Articolul 37
În cazul în care pentru efectuarea investigaţiilor devin incidente prevederile Regulamentului general privind protecţia datelor referitoare la mecanismele de cooperare şi coerenţă, se aplică în mod corespunzător dispoziţiile acestuia şi ale documentelor emise de Comitetul European pentru Protecţia Datelor.

Articolul 38
Modelul legitimaţiei de control şi modelul procesului-verbal de constatare/sancţionare sunt prevăzute în anexele nr. 1 şi 2 la prezenta procedură.