Control ANSPDCP: ce documente GDPR trebuie să puteți prezenta

Cum decurge un control și ce vi se cere

Procedura de investigare a Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal, aprobată prin Decizia nr. 161/2018, prevede trei forme: investigația pe teren, la sediul dumneavoastră; investigația la sediul autorității; și investigația în scris. Controlul poate fi anunțat sau inopinat.

În forma scrisă, primiți o adresă prin care ANSPDCP solicită informații, date și documente. Răspunsul se dă în scris, în termenul stabilit în adresă, cu dovezile anexate în copii certificate pentru conformitate cu originalul. În funcție de ce primește, autoritatea poate continua pe teren. La controlul pe teren, echipa are acces la documente și la echipamentele pe care se prelucrează datele, inclusiv la cele accesibile de la distanță, iar caracterul confidențial al unor informații nu îi poate fi opus. Lipsa de cooperare este sancționabilă în sine, potrivit articolului 83 alineatul (5) litera e) din GDPR, separat de eventualele nereguli constatate.

Ca exercițiu de pregătire, alegeți o activitate concretă, de exemplu recrutarea, și urmăriți întregul parcurs al datelor: de unde vin, cine le folosește, cine are acces, cui se transmit și când se șterg. Pentru fiecare etapă, notați cine răspunde, unde este consemnată atribuția (fișa postului, o decizie internă, o procedură) și ce dovadă poate prezenta. Articolul 29 din GDPR cere ca persoanele cu acces la date să le prelucreze numai pe baza instrucțiunilor operatorului; la control, aceste instrucțiuni trebuie arătate. Exercițiul scoate la iveală, de obicei în prima oră, distanța dintre documentație și practica zilnică.

Registrul activităților de prelucrare

Registrul prevăzut de articolul 30 descrie activitățile de prelucrare, cum ar fi administrarea personalului, facturarea sau gestionarea petițiilor. Pentru fiecare, regulamentul cere datele de contact ale operatorului și, dacă există, ale responsabilului cu protecția datelor, scopurile, categoriile de persoane vizate și de date, categoriile de destinatari, eventualele transferuri către țări terțe și, acolo unde este posibil, termenele de ștergere și o descriere generală a măsurilor de securitate. Poate fi ținut electronic.

Organizațiile cu mai puțin de 250 de angajați beneficiază de o derogare, dar una limitată: nu se aplică prelucrărilor neocazionale, celor susceptibile să genereze un risc pentru drepturile persoanelor și celor care includ categorii speciale de date ori date privind condamnări penale. O firmă mică plătește salarii în fiecare lună, deci pentru această activitate are nevoie de registru indiferent de numărul de angajați. Pragul de 250 este cel în vigoare la data publicării; propunerea Comisiei de a-l ridica pentru întreprinderile mici cu capitalizare medie nu a fost încă adoptată.

Temeiul juridic al fiecărei prelucrări nu este o rubrică obligatorie a registrului, dar trebuie stabilit și va fi întrebat la control. Merită consemnat în registru, alături de persoana responsabilă de fiecare activitate, pentru că răspunsul „pe interes legitim" fără o evaluare scrisă a interesului legitim este una dintre constatările frecvente ale autorității.

Informarea persoanelor, consimțământul și confidențialitatea angajaților

Nota de informare explică persoanei cum îi sunt folosite datele: în ce scop, pe ce temei, cui pot fi transmise, cât timp sunt păstrate și cum își poate exercita drepturile. Conținutul și momentul informării sunt stabilite de articolele 12–14, cu diferențe după cum datele vin direct de la persoană sau din altă sursă.

Semnarea unei note de informare nu echivalează cu un consimțământ. Acolo unde prelucrarea chiar se bazează pe consimțământ, cum sunt newsletterul, marketingul direct, fotografiile de la evenimente sau păstrarea CV-urilor după încheierea recrutării, articolul 7 vă obligă să puteți demonstra că persoana și l-a dat: cine, când, prin ce canal și la ce text a consimțit. Inspectorii verifică și dacă retragerea este la fel de simplă ca acordarea și dacă prelucrarea încetează după retragere.

Angajamentul de confidențialitate are alt rol: stabilește obligațiile celui care lucrează cu datele altora. Pentru un angajat pot fi necesare ambele documente, informarea despre propriile date și regulile de acces la datele clienților sau colegilor. Păstrați versiunile succesive ale informărilor și dovada comunicării lor. O informare actualizată pe site nu dovedește ce a primit un candidat care a trimis CV-ul cu șase luni în urmă.

Furnizorii care prelucrează date pentru dumneavoastră

Rolul fiecărui furnizor se stabilește după ce face în realitate, nu după cum este numit în contract: poate fi persoană împuternicită, operator independent sau, în anumite situații, operator asociat. Un contract comercial nu creează de la sine o relație de împuternicire.

Când furnizorul prelucrează date în numele dumneavoastră, articolul 28 cere un contract sau un alt act juridic, în scris, inclusiv în format electronic. Acesta descrie obiectul și durata prelucrării, natura și scopul ei, tipurile de date și categoriile de persoane vizate, precum și obligațiile și drepturile operatorului; apoi stabilește că furnizorul lucrează numai pe baza instrucțiunilor dumneavoastră, asigură confidențialitatea personalului, aplică măsuri de securitate, nu subcontractează fără acord, vă ajută să răspundeți persoanelor și autorității, șterge sau returnează datele la final și acceptă audituri. O clauză generală de confidențialitate nu acoperă aceste cerințe, iar un contract-șablon cu anexa de descriere goală va fi constatat ca atare.

Țineți o evidență a furnizorilor relevanți: serviciul, datele la care au acces, rolul juridic, locurile prelucrării, contractul aplicabil și subcontractanții cunoscuți. La un serviciu de salarizare, de exemplu, contează accesul efectiv la dosarele de personal, nu doar la statul de plată. Transferurile în afara Spațiului Economic European cer o analiză separată a mecanismului folosit, potrivit capitolului V din regulament.

Supravegherea video și monitorizarea angajaților

Pentru camerele video, documentați scopul concret, temeiul juridic, necesitatea, zonele filmate, informarea, cine are acces la înregistrări și cât timp se păstrează. Durata se justifică în raport cu scopul; GDPR nu fixează un termen unic pentru toate sistemele, iar Orientările 3/2019 ale Comitetului European pentru Protecția Datelor sunt reperul pentru proporționalitate.

Evaluarea impactului asupra protecției datelor este obligatorie când prelucrarea este susceptibilă să genereze un risc ridicat. În România, ANSPDCP a stabilit prin Decizia nr. 174/2018 lista operațiunilor pentru care evaluarea este obligatorie; pentru acest capitol sunt relevante monitorizarea sistematică pe scară largă a unei zone accesibile publicului, prelucrarea pe scară largă a datelor angajaților prin mijloace de monitorizare sau de înregistrare sistematică a comportamentului și folosirea unor tehnologii noi, cum ar fi recunoașterea facială pentru acces. Lista nu este exhaustivă.

Monitorizarea angajaților la locul de muncă, prin comunicații electronice sau supraveghere video, în temeiul interesului legitim al angajatorului, este reglementată de articolul 5 din Legea nr. 190/2018 prin condiții cumulative: interesele urmărite să fie temeinic justificate și să prevaleze asupra drepturilor angajaților; angajații să fi fost informați prealabil, complet și explicit; sindicatul sau, după caz, reprezentanții angajaților să fi fost consultați înainte de introducerea sistemului; iar alte forme mai puțin intruzive să nu-și fi dovedit anterior eficiența. Durata de stocare trebuie să fie proporțională cu scopul și nu poate depăși 30 de zile, cu excepția situațiilor expres reglementate de lege sau a cazurilor temeinic justificate, de exemplu o înregistrare păstrată pentru un incident până la soluționarea lui. Justificarea unei durate mai mari se consemnează în scris, ca să poată fi prezentată la control.

Verificați și setările reale ale sistemului. O politică ce prevede ștergerea după 30 de zile trebuie să corespundă configurației echipamentului; inspectorii se uită în interfața de administrare, nu doar în procedură.

Cererile persoanelor și incidentele de securitate

Aveți nevoie de un circuit clar pentru cererile de acces, rectificare, ștergere și celelalte drepturi: cine le primește, cine verifică identitatea solicitantului, cine răspunde. Răspunsul se dă fără întârzieri nejustificate și cel târziu într-o lună de la primire. Termenul poate fi prelungit cu încă două luni când complexitatea sau numărul cererilor o impune, dar persoana trebuie informată despre prelungire și motive în prima lună.

Toate încălcările securității datelor se documentează, inclusiv cele pentru care notificarea nu este necesară; articolul 33 alineatul (5) cere această evidență tocmai ca autoritatea să poată verifica cum ați decis. Notificarea către ANSPDCP se face fără întârzieri nejustificate și, dacă este posibil, în cel mult 72 de ore de când ați luat cunoștință, cu excepția situației în care încălcarea este puțin probabil să genereze un risc pentru persoane. Când riscul este ridicat, informarea persoanelor afectate este o obligație, nu o opțiune, fără întârzieri nejustificate, cu excepțiile din articolul 34 alineatul (3). Termenul de 72 de ore este cel în vigoare; modificările propuse de Comisie în pachetul Digital Omnibus nu au fost adoptate.

Păstrați pentru fiecare incident cronologia, evaluarea riscului, decizia de a notifica sau nu, cu motivele ei, și măsurile luate. Stabiliți din timp cine primește sesizarea și cine coordonează răspunsul, inclusiv în afara programului; un incident descoperit vineri seara nu așteaptă până luni.

Securitatea și instruirea, dovedite

Măsurile de securitate se aleg în funcție de risc, potrivit articolului 32, și trebuie să poată fi arătate în funcțiune. Dovezile utile sunt acordarea și retragerea drepturilor de acces, actualizările sistemelor, verificarea copiilor de siguranță, inclusiv o restaurare de probă, și regulile pentru documentele pe hârtie. Când un salariat pleacă, verificați că accesul lui la e-mail, aplicații și arhive a fost retras în aceeași zi; este una dintre primele întrebări la control.

Instruirea se adaptează rolurilor. Personalul de resurse umane, recepția și administratorii de sistem întâlnesc situații diferite și au nevoie de reguli diferite. Păstrați materialele, data, lista participanților și, dacă ați făcut exerciții, rezultatele lor. O simulare simplă, un document trimis greșit, arată imediat dacă oamenii știu cui să raporteze și ce pași urmează.

Responsabilul cu protecția datelor și evaluările de impact

Autoritățile și organismele publice desemnează obligatoriu un responsabil cu protecția datelor, cu excepția instanțelor în exercitarea funcției jurisdicționale. Pentru firme, obligația apare când activitățile principale constau în monitorizarea periodică și sistematică a persoanelor pe scară largă sau în prelucrarea pe scară largă a categoriilor speciale de date ori a datelor privind condamnări penale. Dacă nu sunteți siguri, chestionarul nostru gratuit parcurge criteriile în câteva minute, iar rezultatul poate servi drept analiză internă documentată.

Dacă ați desemnat un responsabil, intern sau externalizat, pregătiți decizia de desemnare sau contractul, dovada publicării datelor de contact și dovada comunicării lor către ANSPDCP prin formularul de pe dataprotection.ro, așa cum cere articolul 37 alineatul (7). Inspectorii verifică și dacă responsabilul a fost implicat efectiv și la timp: avize pe evaluările de impact, rapoarte către conducere. Răspunderea pentru conformitate rămâne a organizației și atunci când responsabilul este extern.

Evaluarea impactului, atunci când este necesară, se face înainte de începerea prelucrării, nu după. Consemnați și motivele pentru care o activitate nu necesită evaluare; decizia argumentată de a nu face o evaluare este, la rândul ei, o dovadă.

Cum începeți pregătirea

• Inventariați activitățile de prelucrare și identificați obligațiile fiecăreia.
• Comparați documentele existente cu aplicațiile, furnizorii și procedurile folosite în realitate.
• Selectați dovezile concrete pentru fiecare obligație și verificați că sunt actuale și ușor de găsit.
• Pentru fiecare lipsă, stabiliți responsabilul, termenul și dovada de finalizare.

Întrebări frecvente

Surse

• Regulamentul (UE) 2016/679 (GDPR), în special articolele 7, 12–14, 28–30, 32–35, 37 și 83
• Legea nr. 190/2018, articolul 5
• Decizia ANSPDCP nr. 161/2018 privind aprobarea Procedurii de efectuare a investigațiilor
• Decizia ANSPDCP nr. 174/2018 privind lista operațiunilor pentru care este obligatorie evaluarea impactului
• ANSPDCP, Responsabilul cu protecția datelor
• EDPB, Orientările 3/2019 privind prelucrarea datelor prin mijloace video
• EDPB, Orientările 9/2022 privind notificarea încălcărilor securității datelor
• EDPB, Orientările 07/2020 privind noțiunile de operator și persoană împuternicită