Punctul de plecare: scopul și temeiul fiecărei prelucrări
Pentru fiecare operațiune trebuie stabilit de ce sunt necesare datele, care este temeiul juridic, cine are acces și cât timp sunt păstrate. GDPR cere legalitate, transparență, limitarea la scop și la datele necesare, exactitate și securitate. Compania trebuie să poată demonstra respectarea acestor principii.
Consimțământul nu este temeiul universal al prelucrării. Executarea contractului, îndeplinirea unei obligații legale sau interesul legitim pot fi relevante, în condițiile lor proprii. În relațiile de muncă, o declarație generală de acord nu justifică orice utilizare a datelor angajaților.
Informările, contractele cu furnizorii care prelucrează date, regulile de acces și procedurile de răspuns la cereri ori incidente trebuie corelate cu fluxurile efective. Transferurile către destinatari din afara Spațiului Economic European necesită verificarea mecanismelor aplicabile.
Când trebuie desemnat un DPO
Articolul 37 GDPR prevede trei situații principale în care desemnarea este obligatorie:
- Prelucrarea este realizată de o autoritate sau de un organism public, cu excepția instanțelor atunci când exercită funcția jurisdicțională.
- Activitățile principale presupun operațiuni care necesită monitorizarea periodică și sistematică a persoanelor pe scară largă.
- Activitățile principale constau în prelucrarea pe scară largă a categoriilor speciale de date sau a datelor privind condamnări penale și infracțiuni.
Evaluarea nu se reduce la numărul de angajați
Articolul 37 nu stabilește un prag general de salariați sau de cifră de afaceri care să determine obligația desemnării. Pentru aprecierea scării prelucrării, autoritatea de supraveghere indică numărul persoanelor vizate, volumul și diversitatea datelor, durata și întinderea geografică. Contează activitățile principale și natura operațiunilor, nu numai dimensiunea organizației.
Legea română adaugă cerințe relevante. Articolul 4 alin. (2) din Legea nr. 190/2018 prevede garanții, inclusiv numirea unui responsabil, atunci când numerele de identificare națională ori documentele care le conțin sunt prelucrate în temeiul interesului legitim. Această situație trebuie deosebită de prelucrarea acelorași date în executarea unei obligații legale.
Rolul și independența responsabilului
DPO poate fi un membru al personalului sau un prestator extern. Trebuie să aibă competența necesară, acces la informații și resurse și să fie implicat la timp în deciziile privind datele. El consiliază, monitorizează respectarea obligațiilor și cooperează cu autoritatea de supraveghere.
Responsabilul raportează direct conducerii la nivelul cel mai înalt și nu trebuie să primească instrucțiuni privind îndeplinirea sarcinilor sale specifice. Cumulul de funcții este posibil numai fără conflict de interese. Datele sale de contact se publică și se comunică autorității, conform art. 37 alin. (7).
Monitorizarea salariaților: condiții cumulative
Pentru monitorizarea prin comunicații electronice sau supraveghere video la locul de muncă, întemeiată pe interesul legitim al angajatorului, art. 5 din Legea nr. 190/2018 cere cumulativ:
- Justificarea temeinică a interesului angajatorului și prevalența sa asupra intereselor ori drepturilor și libertăților persoanelor vizate.
- Informarea prealabilă, completă și explicită a angajaților.
- Consultarea sindicatului sau a reprezentanților angajaților înaintea introducerii sistemelor.
- Demonstrarea faptului că alte modalități mai puțin intruzive nu și-au dovedit anterior eficiența.
- Stocarea proporțională cu scopul, fără depășirea a 30 de zile, exceptând situațiile expres reglementate de lege sau cazurile temeinic justificate.
Documentarea deciziei înainte de implementare
O cameră video sau o aplicație instalată pentru securitate nu autorizează automat evaluarea permanentă a comportamentului angajaților. Scopul, accesul la date, durata păstrării și utilizările ulterioare trebuie evaluate. Când prelucrarea poate genera un risc ridicat, se verifică obligația evaluării impactului asupra protecției datelor.
Murar și Asociații asistă companiile în evaluarea obligațiilor GDPR, revizuirea documentelor și a relațiilor cu furnizorii, analiza monitorizării la locul de muncă și gestionarea solicitărilor ori controalelor autorității.
Întrebări utile
O companie fără obligația de a numi DPO este exceptată de la GDPR?
Nu. Obligațiile privind temeiul prelucrării, informarea, securitatea și drepturile persoanelor rămân aplicabile. Analiza desemnării DPO este doar o parte a evaluării conformității.
Este suficient să informăm angajații că sunt monitorizați?
Nu. Informarea este una dintre condiții. Când monitorizarea se bazează pe interesul legitim, trebuie îndeplinite și celelalte cerințe ale art. 5 din Legea nr. 190/2018, împreună cu regulile GDPR.
Surse juridice
- Regulamentul (UE) 2016/679 — GDPR, textul oficial în limba română — art. 5–6, art. 12–14, art. 24, art. 28, art. 32–39 și art. 44–49
- Legea nr. 190/2018, forma consolidată — art. 4 alin. (2), art. 5 și art. 10
- ANSPDCP — Responsabilul cu protecția datelor — secțiunea I: activități principale, monitorizare periodică și sistematică, criteriile prelucrării pe scară largă
Analiza oferă informații generale în raport cu sursele și data indicate. Soluția pentru o situație concretă depinde de documente, de legea aplicabilă și de eventualele reguli tranzitorii.