Question: Les opérateurs seuls, les agriculteurs et les particuliers exerçant une profession libérale ont-ils selon la Loi sur la protection des données personnelles l’obligation d’enregistrement en tant qu’administrateurs de données ? Dans quels cas en sont-ils dispensés ?
Réponse: Si les personnes mentionnées ci – dessus ne traitent pas des données personnelles sous une forme quelconque (dans le sens de par.1, point 1 des Dispositions complémentaires de la Loi sur la protection des données personnelles) et ne tiennent pas des registres d’informations constituant des données personnelles, ils ne sont alors pas soumis à l`obligation d’enregistrement en tant qu’administrateur de données. Toutefois, s’ils traitent des données, conformément à la définition de l`art. 2, par. 1 de la Loi sur la protection des données personnelles, et s’ils conservent de tels registres, il faudrait alors faire une demande d’enregistrement. Dans le cas où les activités de ces personnes prennent fin, mais qu’elles continuent à traiter des données personnelles, par exemple conservation, elles devraient en notifier la CPDP. Cela pourrait être fait via le système électronique eRALD ou par le dépôt d’une notification de modification ou de suppression de données dans le registre « Administrateur de données personnelles et les registres qu’ils tiennent ».
Question: Quand est-ce qu’il n’est pas nécessaire de faire une demande d’enregistrement ?
Réponse: Pas demande d`enregistrement lorsque l`administrateur:
1. Maintient un registre conçu pour fournir de l`information publique qui est accessible soit à tous, soit à toutes les personnes ayant un intérêt juridique;
2. Traite des données dans les situations décrites dans l`art. 5, par. 2, point 4 de la Loi sur la protection des données personnelles, à savoir: « Le traitement est effectué par une organisation sans but lucratif, y compris politique, philosophique, religieux ou syndical, dans le cadre de ses activités légitimes et avec des garanties appropriées, à condition que:
a) le traitement concerne uniquement les membres de cette organisation ou des personnes qui, dans le cadre de ses objectifs, sont en contact régulier avec elle;
b) les données ne sont pas communiquées à des tiers sans le consentement de la personne à laquelle les données en cause se rapportent ».
Question: Dans quel cas pourrais-je être dispensé de l’obligation d’enregistrement en tant qu’administrateur de données personnelles ?
Réponse: La Commission pourrait exempter les administrateurs de données de l’obligation d`enregistrement s’ils répondent à au moins un des critères suivants:
1. Lorsque l’administrateur traite des données personnelles pour une période de maximum six mois avec le consentement de la personne à laquelle ces données se rapportent;
2. Lorsque les données sont traitées dans des registres publics en vertu des lois dont les dispositions prévoient la procédure d`accès et les mesures de protection;
3. Lorsque l’administrateur traite des données relatives aux rapports de travail ou d’appartenance et le nombre des personnes dont les données sont traitées est au-dessous de 15. L’exemption de l`enregistrement se fait par une demande de la part de l’administrateur des données personnelles, sous une forme établie par la CPDP. Une telle demande pourrait être faite que par un administrateur qui, jusqu’au moment du dépôt, ne figure pas dans le « Registre des administrateurs de données personnelles et des registres qu’ils tiennent ». Il faudrait prendre en compte que les critères d’exemption d’enregistrement devraient être disponibles à l’égard de tous les registres de données personnelles que l’administrateur traite.
Question: Ai-je l’obligation d’enregistrement en tant qu’administrateur de données personnelles dans les cas où le traitement de ces données se résume qu’à l’émission ou la conservation de factures ?
Réponse: Tous les commerçants sont tenus à se conformer à la Loi relative à la comptabilité – son art. 7, par. 1 énumère le minimum d’éléments que chaque facture devrait contenir. En vertu de l`art. 84 du Code de procédure fiscale, elle devrait mentionner le nom, l`adresse et le numéro d`identification de l`émetteur et le destinataire. Conformément à l`art. 84, par. 2 du même code, l’identification de personnes physiques ne figurant pas dans le registre de commerce, notamment dans le registre BULSTAT (en bulgare : БУЛСТАТ), s’opère par le numéro d`identification personnel (si la personne physique est de nationalité bulgare) ou par le numéro personnel (lorsqu’il s’agit d’un étranger). Le numéro d’identification personnel d`un citoyen bulgare et le numéro personnel des étrangers constituent des données personnelles au sens de l`art. 2, par. 1 de la Loi sur la protection des données personnelles. Selon cette loi, tous ceux qui traitent des données personnelles sur n’importe quelle forme au sens de par.1, point 1 de ses Dispositions complémentaires et qui tiennent des registres d’information qui constitue des données personnelles, sont soumis à l`enregistrement en tant qu’administrateur de données personnelles.
Question: Mon entreprise ne fonctionne pas / n’exerce pas d’activité. Ai-je l’obligation d’enregistrement / de mise à jour ?
Réponse: La cessation d`activité commerciale de l’administrateur ne le dispense pas de son obligation d’enregistrement, lorsqu’il continue à conserver ou à effectuer d’autres opérations liées au traitement de données personnelles sur une forme quelconque au sens du par.1, point 1 des Dispositions complémentaires de la Loi sur la protection des données personnelles. Il faudrait prendre en compte l’obligation juridique de l’employeur, prévue dans l’art.42, par.1 de la Loi relative à la comptabilité, selon lequel les informations ayant trait à la comptabilité devraient être conservées au sein de l’entreprise selon la procédure contenue dans la Loi sur le Fonds national d’archives, dans les délais spécifiquement mentionnés.
Si, au moment présent, vous conservez des informations sur la base des exigences légales énumérées ci-dessus, même si l`activité est terminée, vous conservez des registres de données personnelles et vous êtes alors soumis à l`enregistrement et à la mise à jour auprès de la CPDP.
Si l`activité de l`administrateur a cessé, mais qu’il continue à traiter des données personnelles (par exemple conservation de données personnelles), il devrait le notifier à la CPDP. Cela pourrait être fait via le système électronique eRALD ou par le dépôt d’une Notification de modification ou de suppression de données dans le registre « Administrateurs de données et les registres qu’ils tiennent ».
Question: Quelle est la base juridique pour la mise à jour?
Réponse: L‘administrateur est tenu de demander l`inscription dans le Registre des administrateurs de données auprès de la CPDP avant qu’il commence le traitement des données (art. 17, par. 1 de la Loi sur la protection des données personnelles). Il est également obligé de mettre l`information à jour et de notifier la Commission pour tout changement qui survient (art. 18, par. 3 de la Loi sur la protection des données personnelles). Dans les cas où un tel changement est prévu dans la loi, la notification devrait être faite dans un délai de 7 jours à compter de l`entrée en vigueur de ladite loi. Toutes les demandes d`enregistrement d’administrateurs de données personnelles déposées sur support papier sont traitées et enregistrées dans le système d’enregistrement électronique des ADP (eRALD). Toute demande traitée et incluse dans le système d’enregistrement électronique a reçu un numéro d`entrée dans le « Registre des administrateurs de données personnelles et les registres qu’ils tiennent ». Les modifications apportées à la Loi sur la protection des données personnelles ont nécessité des changements dans le formulaire de demande d`enregistrement. Ceci exige que chaque administrateur vérifie l`état des documents d`enregistrement qu’il a soumis dans la partie publique du système. À cet égard, il suit de vous informer que la CPDP a pris une décision concernant l’obligation de mise à jour des données dans le Registre de la CPDP – elle devrait être effectuée jusqu’au 31 décembre 2009, qui a ensuite été étendu au 15 février 2010. Les demandes qui comportent des données correctes sont traitées et incluses dans le « Registre des administrateurs de données personnelles et les registres qu’ils tiennent » avec un numéro d’entrée, tandis que les demandes de mise à jour sont enregistrées dans la « Liste des administrateurs de données personnelles à mettre à jour ».
Question: Les entreprises enregistrées lors de l’entrée en vigueur de la Loi sur la protection des données personnelles, sont-elles obligées à s’enregistrer à nouveau suite aux modifications législatives ?
Réponse: Les administrateurs de données personnelles qui ont demandé l`enregistrement jusqu`au 14 novembre 2006, sont soumis à une mise à jour.
Conformément à l`art. 18 par. 3 de la Loi sur la protection des données personnelles, les administrateurs de données personnelles informant la Commission pour tout changement des données décrites dans la demande d`enregistrement et ceci, avant sa mise en œuvre.
Question: Est-il obligatoire de définir un processeur de données personnelles ? Les comptables qui ont accès et qui traitent les données des employés sont-ils perçus comme processeurs de données personnelles ?
Réponse: L`administrateur pourrait traiter les données de façon indépendante ou par l`affectation d’un processeur. Le processeur de données est une personne physique ou morale, une autorité publique ou locale qui traite des données personnelles au nom de l’administrateur. Les relations entre l’administrateur de données et le processus sont régies par un acte législatif, un contrat ou autre acte de l’administrateur déterminant les tâches qu’il assigne au processeur.
Quant au statut du comptable et plus précisément la question s’il pourrait être perçu en tant que processeur de données, il faudrait prendre en compte à la fois la base juridique en vertu de laquelle il traite les données personnelles et les rapports qui existent entre lui et l’administrateur (par exemple d’emploi, civils, etc.).
Question: Le consentement écrit des employés de l’entreprise concernant le traitement de leurs données personnelles est-il obligatoire ?
Réponse: Afin d’avoir une base juridique pour le traitement des données personnelles, il faudrait disposer d’au moins un élément figurant dans l’art.4, par.1 de la Loi sur la protection des données, dont l`un est le consentement explicite de la personne à laquelle se rapportent les données.
Question: Les opérateurs seuls, les agriculteurs et les particuliers exerçant une profession libérale ont-ils selon la Loi sur la protection des données personnelles l’obligation d’enregistrement en tant qu’administrateurs de données ? Dans quels cas en sont-ils dispensés ? Question: Quand est-ce qu’il n’est pas nécessaire de faire une demande d’enregistrement ?Question: Dans quel cas pourrais-je être dispensé de l’obligation d’enregistrement en tant qu’administrateur de données personnelles ?Question: Ai-je l’obligation d’enregistrement en tant qu’administrateur de données personnelles dans les cas où le traitement de ces données se résume qu’à l’émission ou la conservation de factures ?Question: Mon entreprise ne fonctionne pas / n’exerce pas d’activité. Ai-je l’obligation d’enregistrement / de mise à jour ?Question: Quelle est la base juridique pour la mise à jour?Question: Les entreprises enregistrées lors de l’entrée en vigueur de la Loi sur la protection des données personnelles, sont-elles obligées à s’enregistrer à nouveau suite aux modifications législatives ?Question: Est-il obligatoire de définir un processeur de données personnelles ? Les comptables qui ont accès et qui traitent les données des employés sont-ils perçus comme processeurs de données personnelles ?Question: Le consentement écrit des employés de l’entreprise concernant le traitement de leurs données personnelles est-il obligatoire ?
