GDPR pentru primării: DPO extern și conformitate

Ce obligații GDPR are o primărie

Primăria este autoritate publică, așa că intră direct sub art. 37 alin. (1) lit. a) din Regulamentul (UE) 2016/679: trebuie să desemneze un responsabil cu protecția datelor. Obligația nu depinde de numărul de locuitori sau de angajați. O comună cu zece funcționari are aceeași obligație ca un municipiu.

Datele de contact ale DPO se publică, de exemplu pe site-ul primăriei, și se comunică la ANSPDCP (art. 37 alin. (7)). Dacă doriți să verificați cine mai are această obligație, citiți ghidul cine are nevoie de responsabil cu protecția datelor.

Pe lângă DPO, primăria trebuie să poată demonstra că respectă principiile din art. 5. Concret, asta înseamnă:

• registrul activităților de prelucrare (art. 30), întocmit pe fiecare compartiment;
• note de informare pentru cetățeni și pentru angajați (art. 13–14), afișate la registratură și publicate pe site;
• o procedură pentru cererile persoanelor vizate: acces, rectificare, ștergere, opoziție (art. 15–22);
• măsuri de securitate adecvate pentru arhivă, calculatoare și programele de taxe și impozite (art. 32);
• o procedură de notificare a încălcărilor de securitate către ANSPDCP în 72 de ore (art. 33–34);
• contracte de împuternicire (art. 28) cu furnizorii de software, de găzduire a site-ului sau de mentenanță IT.

Ce date prelucrează o primărie

Aproape fiecare compartiment al primăriei lucrează cu date personale. Tabelul de mai jos este orientativ; temeiul exact se stabilește pentru fiecare prelucrare, în funcție de actul normativ care o reglementează.

Transparență și protecția datelor: unde se ciocnesc

Legea 544/2001 obligă primăria să ofere acces la informațiile de interes public, iar Codul administrativ cere publicarea hotărârilor consiliului local. GDPR nu interzice publicarea, dar cere ca datele personale publicate să fie limitate la ce este necesar (principiul reducerii la minimum a datelor, art. 5 alin. (1) lit. c)).

În practică, echilibrul arată așa:

• hotărârile privind ajutoare, concesiuni, închirieri sau vânzări menționează numele doar când este necesar și niciodată CNP-ul, adresa completă sau date despre sănătate;
• anexele cu liste de beneficiari se anonimizează înainte de publicarea pe site;
• transmisia live a ședințelor se anunță în prealabil, iar persoanele din sală sunt informate;
• răspunsurile la cererile formulate în baza Legii 544/2001 se transmit cu datele altor persoane acoperite.

Ce riscă o primărie: regimul sancțiunilor

Legea 190/2018 prevede un regim distinct pentru autoritățile publice. La constatarea unei încălcări, ANSPDCP aplică mai întâi avertisment, însoțit de un plan de remediere cu termen. Dacă măsurile nu sunt îndeplinite în termen, urmează amenda, între 10.000 și 200.000 lei. Regimul complet este explicat în ghidul despre amenzile GDPR aplicate de ANSPDCP.

Riscul nu se reduce la amendă. Un control ANSPDCP și un plan de remediere consumă timp din activitatea curentă, iar un incident, cum ar fi un dosar trimis la adresa greșită sau o listă de CNP-uri pusă pe site, afectează încrederea cetățenilor.

Greșeli frecvente în primării

• DPO numit doar formal, adesea o persoană care decide și prelucrările pe care ar trebui să le monitorizeze;
• documente preluate de pe internet, care nu descriu compartimentele și procesele reale ale primăriei;
• camere video fără semnalizare, fără termen de ștergere și fără o persoană desemnată să vadă înregistrările;
• calculatoare cu conturi comune și dosare lăsate la vedere la ghișeu;
• hotărâri și anexe publicate pe site cu CNP-uri și adrese;
• contracte cu furnizorul programului de taxe sau de registratură fără clauze de împuternicire.

Pentru camerele din sediul primăriei și din spațiile publice există un ghid separat despre supravegherea video conform GDPR.

Cum vă ajutăm

Lucrăm cu primării și cunoaștem ritmul real al unei zile la registratură, la biroul de taxe sau la asistență socială. Fondatorul firmei are 23 de ani de experiență, dintre care 14 în domeniul securității, este manager de securitate certificat și evaluator de risc la securitatea fizică, înscris în registrul național. Asta contează la arhive, la accesul în clădire și la sistemele video.

Concret, preluăm rolul de DPO extern pentru primărie: răspundem la cererile cetățenilor, ținem legătura cu ANSPDCP, avizăm documentele și gestionăm incidentele. Dacă primăria nu are încă documentația, începem cu un audit GDPR al compartimentelor, apoi întocmim registrul evidenței prelucrărilor și organizăm instruirea funcționarilor pe situațiile concrete de la ghișeu.

Lucrăm cu instituții din Călărași și din județele Giurgiu, Ilfov, Ialomița, Brăila și Constanța, la sediul acestora, și cu instituții din restul țării, online.

Cât costă

Pentru primăriile cu sub 40 de angajați, abonamentul este 1.500 lei pe trimestru, preț final, deoarece firma nu este plătitoare de TVA. Pentru primăriile cu mai mulți angajați facem o ofertă după o discuție despre structura aparatului de specialitate. Detaliile sunt pe pagina de prețuri pentru servicii GDPR.