GDPR pentru firme și IMM-uri: conformitate fără birocrație inutilă

Ce obligații GDPR are o firmă mică

Regulamentul (UE) 2016/679 se aplică oricărei firme care prelucrează date personale. Un SRL cu trei angajați, un magazin online sau un service auto intră toate în această categorie. Datele angajaților, ale clienților persoane fizice, ale persoanelor de contact de la furnizori și ale celor care completează formularul de pe site sunt date personale. Dacă doriți o explicație de bază, începeți cu ghidul ce este GDPR.

Pentru un IMM, obligațiile concrete sunt, de regulă:

• temei legal pentru fiecare prelucrare (art. 6): contract, obligație legală, interes legitim sau consimțământ;
• registrul activităților de prelucrare (art. 30);
• note de informare pentru angajați, clienți și vizitatorii site-ului (art. 13–14);
• o procedură pentru cererile persoanelor care vor să își vadă, corecteze sau șteargă datele (art. 15–22);
• clauze de împuternicire cu contabilul extern, firma de IT, furnizorul de software de facturare sau de CRM (art. 28);
• măsuri de securitate proporționale: parole, backup, drepturi de acces, dulapuri încuiate (art. 32);
• o procedură pentru incidente și notificarea ANSPDCP în 72 de ore, atunci când este cazul (art. 33–34).

Lista completă, explicată pe înțelesul unui antreprenor, este în ghidul despre documentele GDPR obligatorii.

Excepția pentru firmele sub 250 de angajați

Art. 30 alin. (5) scutește de registru firmele cu mai puțin de 250 de angajați, dar numai dacă prelucrarea este ocazională, nu prezintă risc și nu include date sensibile. Salarizarea este o prelucrare permanentă, iar certificatele de concediu medical conțin date despre sănătate. În practică, aproape orice firmă cu angajați trebuie să țină registrul.

Când este obligatoriu DPO-ul

Pentru firmele private, DPO-ul este obligatoriu doar dacă activitățile principale presupun monitorizarea regulată și sistematică pe scară largă a persoanelor sau prelucrarea pe scară largă a datelor sensibile (art. 37 alin. (1) lit. b) și c)). Pentru majoritatea IMM-urilor nu este cazul, dar obligațiile de mai sus rămân.

Ce date prelucrează o firmă

Greșeli frecvente

• Documente descărcate de pe internet. Un set generic care menționează activități pe care firma nu le are nu demonstrează conformitatea, ci arată lipsa ei.
• Consimțământ cerut pentru orice. Contractul de muncă sau livrarea unei comenzi nu se bazează pe consimțământ. Folosit greșit, consimțământul creează obligații în plus, fiindcă poate fi retras oricând.
• CV-uri păstrate la nesfârșit în căsuța de e-mail, fără informare și fără termen.
• Camere video instalate fără informarea angajaților, cu imagini păstrate luni de zile.
• Grupuri de mesagerie în care circulă copii după buletine sau date ale clienților.
• Contabilul extern fără contract de împuternicire, deși primește lunar datele tuturor angajaților.
• Site cu formular de contact fără notă de informare, sau cu module de cookie-uri de marketing care se activează înainte ca vizitatorul să își dea acordul.
• Parole comune pe calculatoare și conturi, fără ca cineva să știe cine a accesat datele și când. Când un angajat pleacă, conturile lui rămân active luni de zile.

Niciuna dintre aceste situații nu cere investiții mari pentru a fi corectată. Cer însă ca cineva din firmă să știe regulile și să le aplice constant, nu doar când apare o problemă.

Pentru camere, citiți și ghidul despre supravegherea video la locul de muncă.

Cum vă ajutăm

Lucrăm cu firme private și știm că un antreprenor nu are timp de documente pe care nu le înțelege. De aceea pornim de la ce face firma efectiv: cine are acces la ce date, ce programe folosiți, cui trimiteți date.

• Dacă nu ați făcut nimic până acum, ne ocupăm de implementarea GDPR în firmă: inventarul datelor, registrul, notele de informare, clauzele cu furnizorii și procedurile interne.
• Dacă aveți deja documente, dar nu știți dacă sunt corecte, vă oferim consultanță GDPR pentru IMM-uri și le adaptăm la situația reală.
• Pentru angajați organizăm o instruire GDPR scurtă și practică, cu exemple din activitatea firmei.
• Dacă vreți ca cineva să răspundă în continuare de acest subiect, putem prelua rolul de DPO extern, chiar și acolo unde nu este obligatoriu.

Fondatorul firmei are 23 de ani de experiență, dintre care 14 în securitate, și este manager de securitate certificat și evaluator de risc la securitatea fizică. Lucrăm la sediul clientului în Călărași și în județele Giurgiu, Ilfov, Ialomița, Brăila și Constanța și online cu firme din toată țara.

Cât costă

Pentru firmele cu sub 40 de angajați, abonamentul este 1.500 lei pe trimestru. Este preț final: KRASP DPO nu este plătitoare de TVA, deci nu se adaugă nimic pe factură. Pentru firmele mai mari facem o ofertă după o scurtă discuție. Detaliile sunt pe pagina de prețuri.