Se aplică Regulamentul UE 679/2016 oricărei firme din România?

Regulamentul se aplică prelucrării datelor personale prin mijloace automatizate sau prelucrării neautomatizate a datelor incluse ori destinate unui sistem de evidență, potrivit articolului 2. Articolul 3 acoperă prelucrarea în contextul activităților unui sediu din Uniune, indiferent unde are loc tehnic. Rolul de operator sau persoană împuternicită se stabilește pentru fiecare operațiune, nu după numărul salariaților.

Ce informații cer articolele 13 și 14 și când se dau?

Dacă datele vin direct de la persoană, articolul 13 cere informarea la obținere. Pentru date din altă sursă, articolul 14 cere informarea într-un termen rezonabil, cel târziu într-o lună; dacă operatorul comunică mai devreme cu persoana, informarea se face la prima comunicare, iar dacă divulgă datele mai devreme, cel târziu la prima divulgare. Se indică identitatea operatorului, scopurile, temeiul, destinatarii, transferurile, păstrarea, drepturile, categoriile de date și sursa, sub rezerva excepțiilor articolului 14 [1].

Când cere articolul 37 desemnarea unui DPO?

Articolul 37 cere desemnarea pentru prelucrarea realizată de o autoritate sau un organism public, cu excepția instanțelor în funcția lor jurisdicțională. Mai cere un DPO când activitățile principale implică monitorizare regulată și sistematică la scară largă sau prelucrare la scară largă a categoriilor speciale de date ori a datelor penale. Numărul angajaților nu este singur un asemenea criteriu [1].

Ce dovadă a conformității trebuie să păstreze operatorul?

Operatorul trebuie să poată demonstra măsurile tehnice și organizatorice adecvate și să le revizuiască ori să le actualizeze când este necesar, potrivit articolului 24 alineatul (1). O listă de documente fără legătură cu operațiunile reale nu arată cum funcționează măsurile. Asociați fiecare măsură cu prelucrarea, riscul, responsabilul intern și rezultatul verificării sale.

Este suficient un registru general al datelor personale?

Nu. Evidența activităților de prelucrare a operatorului trebuie să descrie scopurile, categoriile de persoane și date, destinatarii, transferurile relevante, termenele preconizate pentru ștergere unde este posibil și măsurile generale de securitate unde este posibil. Ea poate fi ținută în format electronic, dar trebuie să reflecte activități identificabile, nu doar o afirmație generică despre protecția datelor.

Când devine necesară o evaluare de impact?

Articolul 35 alineatul (1) cere o evaluare înaintea unei prelucrări susceptibile să genereze un risc ridicat pentru drepturile și libertățile persoanelor. Nu orice proiect digital intră automat aici. Documentați evaluarea riscului înainte de lansare și explicați concluzia; dacă riscul ridicat este probabil, realizați evaluarea de impact înainte ca prelucrarea să înceapă.

Ce înseamnă securitate adecvată în practică?

Articolul 32 cere măsuri tehnice și organizatorice proporționale cu riscul. Pseudonimizarea, criptarea, capacitatea de restabilire și testarea periodică sunt exemple menționate de regulament atunci când sunt potrivite. Analizați separat confidențialitatea, integritatea și disponibilitatea, apoi verificați dacă măsurile planificate există efectiv și dacă problemele constatate au un plan de remediere urmărit de conducere.

Regulamentul UE 679/2016: ce trebuie să facă o firmă?

Răspuns rapid: Regulamentul UE 679/2016 cere unei firme care prelucrează date personale să arate cum respectă normele: măsuri revizuite, evidența activităților, securitate proporțională cu riscul și evaluarea impactului înaintea operațiunilor cu risc ridicat. Firma trebuie să identifice fiecare prelucrare și rolul său, apoi să păstreze dovezi care corespund practicii reale.¹^,2^,3

Rezumat sub formă de hartă

Regulamentul UE 679/2016: ce trebuie să facă o firmă?
│
├─ Identifică prelucrările
│   ├─ Descrie fiecare activitate și rolul firmei
│   ├─ Urmărește scopul și destinatarii
│   └─ Separă faptele de întrebările deschise
│
├─ Dovedește responsabilitatea
│   ├─ Aplică măsuri potrivite activității
│   ├─ Arată cum funcționează în practică
│   └─ Revizuiește-le când este necesar
│
├─ Ține evidența scrisă
│   ├─ Scopuri, categorii și destinatari
│   ├─ Transferuri și termene posibile
│   └─ Descrierea măsurilor de securitate
│
└─ Controlează riscul
    ├─ Confidențialitate, integritate, disponibilitate
    ├─ Verifică măsurile planificate
    └─ Evaluează impactul înaintea riscului ridicat

Aplicarea regulamentului în firmă

Articolul 2 cuprinde prelucrarea datelor personale prin mijloace automatizate și prelucrarea neautomatizată a datelor care fac parte sau sunt destinate unui sistem de evidență. Articolul 3 aplică regulamentul prelucrării în contextul activităților unui sediu din Uniune, indiferent de locul prelucrării; prevede și situații pentru operatori ori persoane împuternicite fără sediu în Uniune ¹. O evidență digitală a clienților intră astfel în testul material, fără un prag de salariați.

Dacă firma stabilește scopurile și mijloacele, analiza pornește de la răspunderea operatorului; dacă prelucrează pentru altă organizație, rolul poate fi cel al persoanei împuternicite ¹. Explicația despre operator sau persoană împuternicită ajută la această distincție.

Regulamentul este un instrument comun european. Aplicarea lui unei operațiuni și relația cu alte jurisdicții cer însă o verificare a faptelor, nu o concluzie trasă din sediul furnizorului ori din limba site-ului. Pentru situații în care activitatea trece granițe, consultați aplicarea GDPR în afara UE. Această pagină urmărește numai sarcinile de bază ale unei firme care își inventariază activitatea ¹.

Răspunderea operatorului

Articolul 24 alineatul (1) cere operatorului să pună în aplicare măsuri tehnice și organizatorice adecvate, să poată demonstra conformitatea și să revizuiască sau să actualizeze măsurile atunci când este necesar ¹. Cele trei verbe contează împreună. O politică aprobată, dar necunoscută echipei, nu arată că măsura funcționează. Nici o verificare făcută o singură dată nu explică ce se întâmplă după o schimbare de sistem.

Într-o firmă de distribuție, descrieți separat datele din comenzi și cele din dosarele de personal. Notați pentru fiecare activitate cine răspunde de acces, unde este documentată regula, cum se controlează aplicarea și ce eveniment obligă la revizuire. Aceasta este o metodă de lucru pentru a face demonstrabilă obligația din articolul 24, nu o listă universală impusă tuturor firmelor ¹.

Conducerea are nevoie de o imagine a excepțiilor, nu doar de un dosar intitulat „conformitate”. Dacă un drept de acces este prea larg sau o copie de siguranță nu poate fi restaurată, observația trebuie să ducă la o decizie și la o verificare ulterioară. Recomandarea EDPB pentru securitate vorbește despre verificarea măsurilor planificate și despre monitorizarea la nivel înalt a planurilor rezultate din audituri periodice ³.

Conținutul evidenței

Articolul 30 alineatul (1) descrie conținutul evidenței activităților de prelucrare ținute de operator. Ea include scopurile, categoriile de persoane vizate și de date personale, destinatarii, transferurile relevante către țări terțe, termenele preconizate pentru ștergere unde este posibil și o descriere generală a măsurilor de securitate prevăzute la articolul 32 alineatul (1), unde este posibil ¹.

EDPB precizează că evidența trebuie să fie în scris, inclusiv în format electronic ². Formatul este mai puțin important decât capacitatea de a urmări activități reale. Un singur rând „datele clienților” poate ascunde prelucrări cu scopuri, destinatari și perioade diferite. Pe de altă parte, nu transformați registrul într-o copie a fiecărei baze de date. El trebuie să explice activitatea, astfel încât schimbarea unui flux să poată fi observată și evaluată.

Câmp de verificat	Întrebarea practică pentru firmă
Scop și categorii	De ce sunt folosite datele și ale cui sunt?
Destinatari și transferuri	Cui ajung datele și există un transfer relevant în afara SEE?
Ștergere și securitate	Ce termen este prevăzut unde poate fi stabilit și ce măsuri generale protejează activitatea?

Această evidență oferă un punct comun pentru discuțiile despre termene, furnizori și controale. Dacă o echipă schimbă un serviciu de stocare sau deschide un canal nou de colectare, comparați fluxul actual cu rândul existent. Diferența arată ce anume trebuie clarificat. EDPB descrie aceleași familii de informații pentru firmele mici: scopuri, categorii, destinatari, transferuri, perioade posibile de stocare și securitate ².

Alegerea măsurilor de securitate

Articolul 32 alineatul (1) cere operatorilor și persoanelor împuternicite măsuri tehnice și organizatorice adecvate riscului. Textul menționează, după caz, pseudonimizarea și criptarea, capacitatea de a asigura reziliența, restabilirea disponibilității datelor și verificarea periodică a eficacității măsurilor ¹. Niciun exemplu izolat nu înlocuiește judecata despre riscul unei activități anume.

EDPB propune examinarea confidențialității, integrității și disponibilității ³. În depozitul unei firme, confidențialitatea poate fi afectată de accesul neautorizat la datele clienților; integritatea, de modificarea unei adrese; disponibilitatea, de imposibilitatea recuperării comenzilor. Acestea sunt moduri de a descrie riscul, nu concluzii automate despre nivelul lui. Notele de risc ar trebui legate de măsura aleasă și de persoana care verifică funcționarea ei.

O verificare practică separă proiectarea de funcționare. Puteți avea o regulă de acces și totuși conturi vechi active; o copie de siguranță și totuși nicio dovadă că restaurarea reușește. EDPB recomandă punerea în aplicare și verificarea controalelor planificate și audituri periodice ale căror acțiuni sunt urmărite de conducere ³. Concluzia utilă este o listă de probleme concrete, cu verificarea închiderii fiecăreia.

Furnizori și prelucrări cu risc ridicat

Când un furnizor prelucrează date în numele firmei, articolul 28 cere un contract sau alt act juridic care fixează obiectul, durata, natura și scopul prelucrării, categoriile de date și persoane și obligațiile părților. Verificați instrucțiunile documentate, confidențialitatea, securitatea, condițiile pentru subcontractare, asistența, ștergerea ori returnarea datelor și posibilitatea de audit ¹. Consultați și acordul cu persoana împuternicită.

Pentru un transfer către o țară terță, articolul 44 cere respectarea condițiilor capitolului V. Verificați dacă există o decizie de adecvare potrivit articolului 45; în lipsa ei, articolul 46 alineatul (1) cere garanții adecvate, drepturi opozabile persoanelor vizate și posibilitatea de a exercita căi de atac efective ¹. Evidența destinatarilor din articolul 30 ajută la identificarea fluxului, dar nu ține locul acestui test.

O evaluare de impact asupra protecției datelor devine obligatorie înaintea unei prelucrări susceptibile să genereze un risc ridicat pentru drepturile și libertățile persoanelor, potrivit articolului 35 alineatul (1) ¹. Ea nu este o formalitate pe care o amânați până după lansare. Începeți prin a descrie operațiunea și riscul probabil; dacă pragul este atins, evaluarea precedă prelucrarea. Distincția dintre un risc obișnuit și unul ridicat trebuie justificată pe fapte, nu pe o etichetă pusă de un furnizor.

Această pagină nu poate decide dacă un proiect precis atinge pragul de risc ridicat fără scopul, datele, persoanele afectate și efectele probabile ale operațiunii ¹.

Un program practic de conformitate

Transformați obligațiile într-o ordine de lucru verificabilă. Mai întâi delimitați activitățile și rolul firmei. Apoi completați evidența cu scopurile, categoriile, destinatarii și celelalte elemente cerute de articolul 30. Pentru fiecare activitate, identificați riscurile de confidențialitate, integritate și disponibilitate și corelați-le cu măsurile efective. Înaintea unei operațiuni posibil cu risc ridicat, analizați necesitatea evaluării de impact ¹^,2^,3.

Rezultat al etapei	Ce permite să verificați ulterior
Hartă a activităților și rolurilor	Dacă toate fluxurile relevante au un responsabil
Evidență scrisă a prelucrărilor	Dacă descrierea corespunde modului de lucru actual
Listă de riscuri și controale	Dacă măsurile sunt aplicate și verificate
Concluzie privind impactul	Dacă evaluarea necesară precedă activitatea

Pentru o vedere mai largă asupra guvernanței datelor și a sistemelor AI, consultați guvernanța AI și protecția datelor.

Ce nu poate decide această pagină

Regulamentul oferă criterii, dar această pagină nu poate stabili rolul fiecărui furnizor sau ce măsură tehnică este suficientă fără descrierea sistemului și a persoanelor afectate. Articolele 24, 32 și 35 leagă măsurile și evaluarea de risc de operațiunile concrete ¹.

Ce trebuie făcut în continuare

Alegeți o activitate concretă, de exemplu gestionarea comenzilor, și puneți pe o singură pagină scopul, persoanele vizate, datele, destinatarii, termenul posibil de ștergere și măsurile generale de securitate. Comparați pagina cu activitatea reală și notați ce informație lipsește. Repetați pentru celelalte fluxuri, apoi decideți cine verifică măsurile și ce schimbări declanșează revizuirea ¹^,2^,3.