VIDEO Documentele necesare în situația unui control pentru nerespectarea GDPR

 

Un control ANSPDCP începe, de obicei, cu o adresă scrisă prin care vi se cer documente într-un termen scurt. Dacă aveți registrul prelucrărilor, informările, contractele cu furnizorii și regulile interne semnate, controlul devine o formalitate. Dacă nu le aveți, nu le puteți face în două zile: ele trebuie să existe dinainte.

Un control ANSPDCP nu începe cu inspectori la ușă, ci cu o hârtie. Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal vă trimite o adresă în care spune de ce vă verifică și ce documente așteaptă de la dumneavoastră, într-un termen care este de obicei de câteva zile lucrătoare. Ce trimiteți în acel plic decide, practic, tot restul. Articolul acesta vă arată ce cer inspectorii de fapt, în ce ordine să reacționați și ce se întâmplă dacă nu aveți actele.

De ce ajunge un control ANSPDCP la o firmă/institutie

Trei situații aduc autoritatea la o firmă sau la o instituție publică. Prima, cea mai frecventă: cineva a făcut o plângere – un client căruia nu i-ați răspuns la cererea de ștergere, un fost angajat nemulțumit, un vecin care vă vede camera video îndreptată spre trotuar. A doua: ați anunțat singur o breșă de securitate și autoritatea vrea să vadă cum ați gestionat-o. A treia: o investigație din oficiu, pornită după un articol de presă, după o sesizare a altei instituții sau ca parte dintr-o acțiune pe un domeniu întreg (au existat astfel de acțiuni pe supravegherea video, pe recuperarea de creanțe, pe magazine online).

Cum sunteți anunțat și în cât timp răspundeți

Adresa vine la sediul social, prin poștă cu confirmare de primire, uneori și pe e-mailul firmei. În ea găsiți: temeiul legal al controlului, obiectul (reclamația sau tema investigației), lista documentelor cerute și termenul. Termenul se calculează de la primire, nu de la data când deschideți plicul – de aceea contează cine ridică poșta la sediul social și dacă vă anunță în aceeași zi.

Dacă termenul este imposibil de respectat dintr-un motiv real (persoana care ține actele e în concediu medical, documentele sunt la contabil în alt oraș), cereți în scris o prelungire, înainte de expirarea lui, și explicați de ce. O cerere motivată, trimisă la timp, arată cooperare. Tăcerea arată exact contrariul, iar obstrucționarea unui control este ea însăși o faptă sancționabilă.

Ce documente cer inspectorii la un control ANSPDCP

Lista diferă de la caz la caz, dar nucleul se repetă. La un control ANSPDCP vi se cer, aproape întotdeauna:

Registrul activităților de prelucrare (art. 30 din GDPR) – ce categorii de date țineți, pentru ce scop, pe ce temei, cât timp le păstrați, cui le dați. Este primul document care se cere și primul care lipsește.

1. Informările date clienților, angajaților și candidaților (art. 13 și 14): textul efectiv, plus dovada că ajunge la om – afișul din recepție, pagina de pe site, anexa la contractul de muncă semnată.

2. Contractele cu furnizorii care vă prelucrează date (art. 28 alin. (3)): contabilitate, firma de IT, platforma de programări, firma de pază care administrează camerele, serviciul de e-mailuri comerciale.

3. Documentele pentru supravegherea video, dacă aveți camere: politica internă, afișele de avertizare, evaluarea interesului legitim, unghiurile camerelor și termenul de păstrare a imaginilor – ca regulă, cel mult 30 de zile (Legea nr. 190/2018).

4. Procedurile interne: cum răspundeți la cererile persoanelor vizate, cum tratați o breșă de securitate, cine are acces la ce.

5. Dovada instruirii angajaților – proces-verbal semnat, cu data și conținutul instruirii.

6. Măsurile tehnice de securitate (art. 32): parole individuale, copii de siguranță, calculatoare blocate, dulap încuiat pentru dosarele pe hârtie.

Ce faceți în primele 24 de ore

1. Notați termenul pe calendar și stabiliți o singură persoană care răspunde. Două voci diferite către autoritate creează contradicții.

2. Citiți exact ce se cere. Nu trimiteți toată arhiva firmei: trimiteți documentele cerute, în ordinea din adresă, numerotate la fel.

3. Verificați ce aveți și ce nu. Un document care lipsește nu se inventează cu o dată în urmă – documentele antedatate se văd și transformă o problemă administrativă într-o problemă de credibilitate.

4. Nu ștergeți nimic. Ștergerea de probe după primirea unei adrese este cea mai gravă greșeală posibilă.

5. Dacă lipsesc documente, faceți-le acum și spuneți deschis în răspuns: „la data controlului, procedura X nu era formalizată; am adoptat-o la data Y, o anexăm”. Remedierea voluntară contează la stabilirea măsurii.

6. Răspundeți în scris, cu număr de înregistrare, și păstrați dovada trimiterii.

Ce riscați, în realitate.

Autoritatea dă un set întreg de măsuri: avertisment, mustrare, ordin de a răspunde cererii unei persoane, ordin de conformare într-un termen, limitarea sau interzicerea unei prelucrări, iar în cazurile serioase amenda administrativă. Amenzile au plafoane mari – până la 10 sau 20 de milioane de euro, respectiv 2% sau 4% din cifra de afaceri mondială anuală, după tipul încălcării (art. 83) – dar plafonul nu este suma care se aplică unei firme mici.

La stabilirea măsurii contează natura și durata încălcării, câte persoane au fost afectate, dacă ați acționat intenționat sau din neglijență, ce ați făcut ca să limitați paguba, gradul de cooperare și dacă mai ați fost sancționat înainte.

Pentru consultanță specializată, întocmirea documentelor necesare și sprijin în relația cu autoritatea de control, Compania GDPR EXPERT CONSULTING, vă stă la dispoziție, prin experiența practică de peste 15 ani în acest domeniu, a administratorului companiei, dl. Ioan Jarcalete, expert GDPR, context în care vă îndrumăm să consultați site-ul companiei la adresa www.gdprexpertconsulting.ro, sau apelati la nr de telefon: 0744.183602.