GDPR pentru instituții publice: agenții județene, direcții și consilii județene

Agențiile județene, direcțiile, serviciile publice deconcentrate și descentralizate și consiliile județene sunt autorități publice, deci trebuie să numească un responsabil cu protecția datelor (art. 37 alin. (1) lit. a) din GDPR). Riscurile specifice lor țin de accesul la baze de date naționale, de volumul mare de dosare ale beneficiarilor și de schimbul de date cu alte instituții. KRASP DPO lucrează cu agenții județene și asigură rolul de DPO extern.

Agențiile județene, direcțiile generale, serviciile publice deconcentrate ale ministerelor, serviciile publice din subordinea consiliului județean și consiliul județean însuși sunt autorități publice. Pentru toate, art. 37 alin. (1) lit. a) din Regulamentul (UE) 2016/679 impune desemnarea unui responsabil cu protecția datelor. Explicăm pe larg criteriile în ghidul cine are nevoie de DPO.

Obligațiile de bază sunt aceleași ca pentru orice operator: registrul activităților de prelucrare (art. 30), informarea persoanelor (art. 13–14), respectarea drepturilor acestora (art. 15–22), măsuri de securitate (art. 32), notificarea incidentelor în 72 de ore (art. 33–34) și evaluarea de impact acolo unde prelucrarea prezintă risc ridicat (art. 35).

Diferența față de o primărie nu stă în obligații, ci în contextul în care lucrați: dosare numeroase ale beneficiarilor, aplicații naționale la care au acces zeci de utilizatori, birouri teritoriale și un flux continuu de date către și dinspre alte instituții. Pentru administrația locală de la nivel de comună și oraș avem o pagină separată despre GDPR în primării.

Ce date prelucrați

Activitate	Date prelucrate	Temei legal
Acordarea de drepturi, prestații și servicii	identificare, CNP, venituri, componența familiei, adeverințe	art. 6 alin. (1) lit. c) și e)
Dosare de asistență și protecție socială	date despre sănătate, dizabilitate, situația copiilor	art. 6 alin. (1) lit. c) și e), art. 9 alin. (2) lit. b)
Utilizarea aplicațiilor și bazelor de date naționale	conturi de utilizator, istoricul accesărilor, datele consultate	art. 6 alin. (1) lit. c) și e)
Schimb de date cu alte instituții	liste de beneficiari, situații centralizate, verificări încrucișate	art. 6 alin. (1) lit. c) și e), pe baza legii speciale
Răspuns la solicitări ale poliției, instanțelor, executorilor	date din dosare, extrase din evidențe	art. 6 alin. (1) lit. c)
Controale și inspecții	date despre persoanele controlate, procese-verbale	art. 6 alin. (1) lit. e)
Resurse umane	dosare de personal, salarii, concedii medicale	art. 6 alin. (1) lit. b) și c), art. 9 alin. (2) lit. b)
Acces în sediu și supraveghere video	registrul vizitatorilor, imagini	art. 6 alin. (1) lit. e); pentru angajați, și art. 5 din Legea 190/2018

Bazele de date naționale: cine răspunde pentru ce

Multe instituții județene lucrează în aplicații administrate de minister sau de agenția națională. Aplicația poate fi centrală, dar accesul angajaților din județ este responsabilitatea instituției județene. Întrebările la care trebuie să aveți răspuns scris sunt simple:

cine primește cont și cine aprobă acordarea lui;
cine închide contul când un angajat pleacă sau se mută pe alt post;
dacă angajații consultă date doar pentru dosarele pe care le au în lucru;
unde ajung exporturile din aplicație (fișiere Excel salvate pe desktop, trimise pe e-mail, printate).

Consultarea din curiozitate a datelor unei rude sau ale unui vecin este tot o prelucrare ilegală, chiar dacă angajatul avea cont valid.

Transferuri între instituții și protocoale de colaborare

Instituțiile publice fac schimb de date aproape zilnic: verificări încrucișate privind veniturile, liste de beneficiari, comunicări către alte autorități. Temeiul acestor transmiteri trebuie să existe într-o lege. Protocolul de colaborare nu îl înlocuiește, dar îl pune în practică. Un protocol bine scris stabilește:

ce categorii de date se transmit și în ce scop, fără formulări generale;
temeiul legal pentru fiecare flux;
canalul de transmitere și măsurile de securitate (fișiere criptate, nu atașamente deschise pe e-mail);
cine are acces la date la instituția care le primește și cât timp le păstrează;
ce se întâmplă în caz de incident de securitate.

Dacă mai multe instituții stabilesc împreună scopurile și mijloacele unei prelucrări, relația dintre ele trebuie clarificată explicit, iar persoanele vizate trebuie să știe cui se adresează.

Greșeli frecvente

conturi în aplicații naționale care rămân active după plecarea angajatului;
protocoale semnate acum mulți ani, care nu menționează protecția datelor;
liste de beneficiari transmise ca atașament necriptat pe adrese de e-mail personale;
dosare fizice transportate între birourile teritoriale fără un circuit clar;
un singur registru de prelucrări pentru toată instituția, care nu reflectă compartimentele reale;
informări pentru beneficiari afișate doar pe site, deși aceștia vin mai ales la ghișeu.

Cum vă ajutăm

Lucrăm cu agenții județene și cu primării, deci cunoaștem atât circuitul dosarelor, cât și relația cu instituțiile centrale. Fondatorul firmei are 23 de ani de experiență, dintre care 14 în securitate, și este manager de securitate certificat și evaluator de risc la securitatea fizică.

Preluăm rolul de responsabil cu protecția datelor extern pentru instituția dumneavoastră. Când este nevoie de o imagine clară a situației actuale, facem o evaluare a conformității GDPR, apoi o analiză a riscurilor pentru fluxurile de date, inclusiv pentru accesul la bazele de date naționale și pentru schimburile cu alte instituții. Revizuim protocoalele de colaborare și întocmim registrul activităților de prelucrare pe fiecare compartiment.

Deplasările la sediu le facem în Călărași și în județele Giurgiu, Ilfov, Ialomița, Brăila și Constanța; pentru restul țării lucrăm online.

Cât costă

Pentru instituțiile cu sub 40 de angajați, abonamentul este 1.500 lei pe trimestru, preț final, deoarece firma nu este plătitoare de TVA. Peste acest prag facem o ofertă după o discuție despre structură și birourile teritoriale. Informațiile sunt pe pagina de prețuri.

Întrebări frecvente

O agenție județeană care folosește o bază de date a ministerului are nevoie de propriul DPO?

Da. Agenția este autoritate publică și are obligația proprie de a desemna un DPO (art. 37 alin. (1) lit. a)). Faptul că aplicația informatică este administrată la nivel central nu mută asupra ministerului răspunderea pentru felul în care angajații agenției accesează și folosesc datele.

Este suficientă legea pentru a transmite date altei instituții, sau e nevoie de protocol?

Temeiul transmiterii trebuie să existe în lege. Protocolul de colaborare nu creează temeiul, dar stabilește concret ce date se transmit, cu ce frecvență, pe ce canal, cine are acces și cât se păstrează. Pentru schimburile de date repetate, protocolul este modul prin care instituția își poate demonstra conformitatea.

Cum răspundem unei solicitări de date venite de la poliție sau de la un executor judecătoresc?

Verificați ca solicitarea să fie scrisă, să indice temeiul legal și scopul și să vină de la o persoană îndreptățită. Transmiteți doar datele cerute și necesare, printr-un canal sigur, și păstrați evidența comunicării. DPO-ul poate aviza solicitările neobișnuite.

Consiliul județean și instituțiile subordonate pot avea același DPO?

Art. 37 alin. (3) din GDPR permite un singur DPO pentru mai multe autorități publice, ținând seama de structura și dimensiunea lor. Fiecare instituție rămâne însă operator separat, cu propriul registru și propriile proceduri.

Ce sancțiune poate primi o instituție publică?

Conform Legii 190/2018, ANSPDCP aplică autorităților publice mai întâi avertisment cu plan de remediere, iar dacă planul nu este îndeplinit în termen, amendă între 10.000 și 200.000 lei.

Vorbiți direct cu consultantul, nu cu un call-center

Spuneți-ne ce fel de organizație sunteți și câți angajați aveți. În aceeași zi primiți un răspuns clar despre ce documente vă lipsesc și cât costă.

Sună: 0735 77 66 73 Cere o ofertă scrisă

Luni–Vineri, 10:00–18:00 · [email protected]

Ce obligații GDPR are o instituție publică