Înregistrarea DPO la ANSPDCP: când, cum și ce comunici

Mulți operatori opresc procesul la jumătate: numesc un DPO, semnează un contract sau o decizie internă și consideră că au bifat obligația. În realitate, desemnarea este doar primul pas. RGPD cere explicit ca, după numire, datele de contact ale responsabilului să ajungă în două locuri: la publicul larg și la autoritatea de supraveghere.

Hai să vedem exact ce spune legea, ce transmiți și cum se face în România.

Temeiul legal: art. 37(7) RGPD și Legea 190/2018

Obligația vine direct din articolul 37 alineatul (7) din RGPD. Textul prevede două lucruri care merg împreună: operatorul sau persoana împuternicită de operator publică datele de contact ale responsabilului cu protecția datelor și le comunică autorității de supraveghere.

În România, autoritatea de supraveghere este ANSPDCP — Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal. La nivel național, cadrul de aplicare a RGPD este completat de Legea nr. 190/2018, legea care pune în aplicare Regulamentul pe plan intern. Cu alte cuvinte: regula de bază este în RGPD, iar contextul național, instituțional, ține de ANSPDCP și de Legea 190/2018.

Important de reținut: această obligație se aplică oricui a desemnat un DPO — fie pentru că era obligat (art. 37 alin. 1), fie pentru că a numit unul voluntar. Odată ce ai un DPO, regula de publicare și comunicare se activează.

Ce comunici, de fapt

Aici apare o confuzie frecventă. RGPD vorbește despre datele de contact ale responsabilului, nu despre expunerea publică a identității lui complete.

• Către public (de exemplu, în nota de informare de pe site) este suficient un canal de contact funcțional: un e-mail dedicat și, eventual, un telefon. Multe organizații folosesc o adresă de funcție, de tipul [email protected], care rămâne valabilă chiar dacă persoana se schimbă.
• Către ANSPDCP comunici datele necesare identificării DPO și ale operatorului — coordonatele de contact prin care autoritatea poate ajunge efectiv la responsabil, împreună cu datele care identifică organizația.

Distincția contează în practică: publicarea pe site servește persoanelor vizate, iar comunicarea către autoritate servește relației instituționale. Nu sunt același lucru și nu se înlocuiesc una pe alta — trebuie făcute amândouă.

Cum se face în România, pas cu pas

Comunicarea către ANSPDCP se face prin canalul oficial al autorității. Site-ul ANSPDCP (dataprotection.ro) pune la dispoziție formularul dedicat și mijloacele electronice pentru notificarea datelor de contact ale responsabilului cu protecția datelor.

La nivel practic, pașii arată în general astfel:

• Pregătești datele operatorului (denumire, identificare fiscală, sediu, persoană de contact) și datele de contact ale DPO.
• Accesezi formularul dedicat de pe site-ul autorității și completezi câmpurile cerute.
• Transmiți formularul prin mijlocul electronic indicat de autoritate și păstrezi dovada transmiterii în dosarul tău de conformitate.

O recomandare de prudență: lucrează întotdeauna cu formularul și instrucțiunile actuale de pe site-ul autorității, pentru că procedura și câmpurile se pot actualiza în timp. Nu te baza pe capturi vechi sau pe instrucțiuni preluate din alte surse.

Când trebuie făcută comunicarea

Regula este simplă: fără întârziere nejustificată după desemnarea DPO. RGPD nu fixează un număr exact de zile, dar logica este aceea de promptitudine — odată ce ai un responsabil, autoritatea și persoanele trebuie să știe pe cine contactează.

Și, foarte important, comunicarea nu este o sarcină de făcut o singură dată. Trebuie să actualizezi datele ori de câte ori:

• se schimbă persoana sau firma care îndeplinește rolul de DPO;
• se modifică adresa de e-mail, telefonul sau celelalte coordonate de contact;
• se schimbă datele relevante ale operatorului care au fost comunicate inițial.

De ce contează și greșelile frecvente

În practică, vedem aceleași câteva derapaje, an după an:

• DPO numit, dar niciodată notificat la autoritate. Decizia internă există, contractul există, dar pasul de comunicare către ANSPDCP a fost uitat. Tehnic, ești în neconformitate cu art. 37(7).
• Datele de contact nu apar pe site sau în nota de informare. Publicarea este o obligație separată de comunicare; lipsa ei lasă persoanele vizate fără un canal clar.
• Coordonate vechi. E-mailul de DPO redirecționează către cineva care a plecat din firmă, iar mesajele se pierd. Asta poate transforma o sesizare simplă într-o problemă.
• Tratarea ca task unic. Notificarea făcută o dată, în 2018, și uitată de atunci nu mai reflectă realitatea organizației.

Dacă vrei să înțelegi mai întâi rolul în sine — ce înseamnă DPO și ce sarcini are — sau dacă te gândești la varianta unui DPO externalizat, acolo găsești contextul complet. Înregistrarea la ANSPDCP este, de fapt, ultima piesă care face rolul vizibil în exterior.

Legătura cu notificarea breșelor de date

Datele de contact ale DPO nu sunt o formalitate administrativă: ele sunt canalul prin care autoritatea și persoanele vizate ajung la organizație atunci când ceva nu merge. Într-un incident de securitate, ANSPDCP se va uita la cine este responsabilul și cum poate fi contactat.

De aceea, înregistrarea corectă a DPO și procesul de gestionare a incidentelor merg mână în mână. Dacă vrei să vezi cum arată cealaltă față a relației cu autoritatea, citește despre notificarea unei breșe la ANSPDCP — când o faci, cum și la ce să te aștepți. Un DPO ușor de contactat și un registru de incidente bine ținut sunt cele două lucruri care fac diferența în primele ore ale unei breșe.

În concluzie

Desemnarea unui DPO este pasul vizibil; comunicarea datelor lui de contact către ANSPDCP și publicarea lor pentru public sunt pașii care chiar produc efecte. Tratează-le ca pe o obligație continuă, nu ca pe o bifă: comunică prompt, publică pe site, actualizează la fiecare schimbare și păstrează dovada. Așa eviți situația, surprinzător de comună, în care ai un responsabil pe hârtie pe care nimeni din afară nu îl poate găsi.

Întrebări frecvente