Politica de confidentialitate

Introducere

Regulamentul UE nr.679/2016 (sau GDPR) privind protecția datelor este obligatoriu pe teritoriul Uniunii Europene. Spre deosebire de directive, regulamentul se aplică ca atare, ca și legea română, de la data intrării în vigoare și nu este nevoie de legislație internă care să îl transpună.

Practic, toate companiile prelucrează date personale, inclusiv datele propriilor salariați.

Acest regulament stabilește în sarcina tuturor entităților care prelucrează date personale obligații privind protecția acestor date, sub pedeapsa unor drastice sancțiuni. În caz de nerespectare, companiile pot fi puse în pericol prin instrumentarea unor reclamații către autoritatea națională de supraveghere de către persoane rău voitoare ori către concurenții dvs., sau prin controale și sancțiuni aplicate de autoritatea de supraveghere. Așa că merită să acordați atenție celor de mai jos.

Când intră în vigoare Regulamentul?

Pe data de 25 mai 2018, și produce depline efecte.

Care sunt sancțiunile pentru neconformare?

Operatorii de date care nu respectă regulamentul pot fi amendați cu sume până la 2% din cifra de afaceri sau până la 10.000.000 EURO, care din ele este mai mare, iar în funcție de gravitatea încălcării sancțiunea poate fi de până la 4% din cifra de afaceri sau până la 20.000.000 Euro, care din ele este mai mare. Sancțiunile sunt prevăzute în art. 83 din regulament, criteriile de individualizare tot acolo. Apreciez criteriile de individualizare destul de subiective, așa că nu este prudent a ne baza pe obiectivitatea organelor de control.

Ce sunt datele personale?

Orice date care fac identificabilă o persoană fizică, cum ar fi: nume, prenume, CNP, adresă, nr de telefon, adresă de email, fotografie, etc.

Ce înseamnă prelucrarea datelor personale?

Orice operațiune de copiere, stocare, primire, luare la cunoștință, diseminare, distribuire sau divulgare este considerată prelucrare.

Cine este obligat să se conformeze acestui regulament?

Practic, orice entitate (companie sau ONG) care are salariați. Această obligație a devenit generală și evidentă din luna aprilie 2018, când grupul de lucru pentru aplicarea art.29 din regulament (organismul european abilitat cu aplicarea) a publicat „Documentul de poziție asupra art.30”, o interpretare oficială a Regulamentului, prin care se spune foarte clar că o mică întreprindere care prelucrează datele propriilor salariați este obligată să țină un registru de evidență a prelucrării datelor.

Cine este operatorul de date personale?

Orice persoană care prelucrează date personale și care are controlul asupra acestor date (companiile). Prestatorii de servicii care prelucrează date personale în numele clienților lor se numesc împuterniciți ai operatorului.

Cine sunt persoanele considerate vizate de prelucrarea datelor personale care trebuie protejate prin Regulament?

Orice persoane fizice, respectiv, în cazul nostru salariații COMPANIEI, copiii și coasigurații salariaților, furnizorii și clienții persoane fizice ai COMPANIEI, dacă nu au statut legal de profesionist și nu au contractat cu COMPANIA în această calitate.

Care sunt obligațiile principale care trebuie respectate conform regulamentului?

A. Obligația de a numi un responsabil cu protecția datelor (data protection officer, sau DPO):

Art. 37(1) din GDPR solicită desemnarea DPO în trei situații specifice:

a) atunci când prelucarea este efectuată de o autoritate publică sau un organism public;
b) atunci când activitățile principale ale operatorului sau ale persoanei împuternicite de operator constau în operațiuni de prelucrarea care necesită o monitorizare periodică și sistematică a persoanelor vizate pe scară largă; sau
c) atunci când activitățile principale ale operatorului sau ale persoanei împuternicite de operator constau în prelucrarea pe scară largă a unor categorii speciale de date sau a unor categorii de date cu caracter personal privind condamnări penale și infracțiuni.

NU

De exemplu, o companie care efectuează producție, are furnizori și clienți persoane juridice și prelucrează preponderent date personale ale salariaților în scopul îndeplinirii obligațiilor legale (declarații fiscale, REVISAL) nu va avea obligația să numească o astfel de persoană.

DA

De exemplu, companiile cu obiect principal de activitate: comerț online, clinică medicală, marketing direct, care monitorizează baze de date extinse de clienți persoane fizice este posibil să fie nevoite să numească un responsabil cu protecția datelor.

ANEXAT pentru detalii: ghidul UE privind numirea DPO.

B. Obligația de a întocmi o evidență a prelucrării datelor personale:

Așa cum am arătat mai sus, a devenit obligatorie pentru toate entitățile care au salariați, criteriul numărului de salariați mai mare de 250, din Regulament, devenind irelevant.

Comisia Europeană încurajează autoritățile naționale de supraveghere să publice pe site-urile lor de internet modele ale acestor evidențe. Autoritatea română nu a publicat un astfel de model.

ANEXAT, pentru conformare, modelul pe care l-am luat de pe site-ul autorității franceze în domeniu (CNIL) și l-am tradus în română. Este totuși vorba de aplicarea aceluiași regulament în toate țările UE.

Cum se face dovada că o companie s-a conformat Regulamentului?

Conform art.24, Regulamentul se aplică de toate companiile ca atare. Totuși, dovada certă că o companie se conformează Regulamentului se face în una din două modalități:

A. Aderarea la un cod de conduită aprobat de autoritatea de supraveghere conform art. 40 alin.5 din Regulament;

B. Adoptarea unui standard aprobat de autoritatea de supraveghere sau de un organism de certificare conform art.42 și 43 din Regulament.

Până în momentul prezentei informări, autoritatea română de supraveghere nu a adoptat un cod de conduită sau un standard, astfel încât companiile să poată face dovada conformării la prevederile Regulamentului.

Aderarea la un cod de conduită sau adoptarea unui standard constituie circumstanțe atenuante care duc la diminuarea amenzilor în cazul în care compania este sancționată.

Situația de neimplementare a regulamentului de către autoritatea de supraveghere nu oprește aplicarea regulamentului și mai ales nu amână aplicarea sancțiunilor.

Măsuri pentru conformare, în absența aderării la codul de conduită sau standard:

Companiile ar trebui să adopte prin norme interne o politică în legătură cu securitatea datelor personale.

Companiile ar trebui să adopte schimbări la contractele pe care le încheie cu colaboratori, salariați, furnizori și clienți astfel încât să se asigure protecția datelor personale și mai ales să se obțină consimțământul persoanelor vizate atunci când prelucrarea datelor personale nu se face în baza unei obligații legale. Prelucrarea datelor personale atunci când nu există un alt temei legal, este ilegală dacă nu se obține consimțământul persoanei vizate.

Persoana vizată are o serie de drepturi pe care le veți găsi în actele anexate și care trebuie respectate, iar în caz de nerespectare, are dreptul să se adreseze cu plângere autorității de supraveghere, care va putea aplica sancțiunile drastice menționate mai sus.