Ce este GDPR? Regulamentul (UE) 2016/679 explicat pe înțelesul tuturor

Ce este GDPR, pe scurt?

GDPR este Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016, privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date. Se aplică direct în România și în toate statele membre din 25 mai 2018, fără să fie nevoie de o lege de transpunere. Denumirea vine din engleză: General Data Protection Regulation, adică Regulamentul general privind protecția datelor.

Pe înțelesul tuturor, GDPR stabilește ce aveți voie să faceți cu informațiile despre oameni, pe ce temei, cât timp le puteți păstra, cum trebuie protejate și ce drepturi au acei oameni față de organizația dumneavoastră. Regulamentul nu interzice folosirea datelor. Cere ca fiecare prelucrare să aibă un scop clar, un temei legal și măsuri de securitate adecvate, iar organizația să poată dovedi toate acestea.

GDPR a abrogat Directiva 95/46/CE, iar în România vechea Lege nr. 677/2001 a fost abrogată în 2018. Textul oficial în limba română se găsește pe EUR-Lex, portalul legislației Uniunii Europene.

Ce înseamnă „date cu caracter personal”?

Datele cu caracter personal sunt, conform art. 4 pct. 1 din GDPR, orice informații privind o persoană fizică identificată sau identificabilă, numită „persoană vizată”. O persoană este identificabilă dacă poate fi recunoscută direct sau indirect, prin nume, număr de identificare, date de localizare, identificator online sau prin elemente proprii identității sale fizice, fiziologice, genetice, psihice, economice, culturale ori sociale.

Exemple concrete: numele și prenumele, CNP-ul, adresa, numărul de telefon, adresa de e-mail de tipul [email protected], imaginea unei persoane dintr-o înregistrare video, numărul de înmatriculare asociat unui proprietar, adresa IP, datele din fișa medicală sau din dosarul de personal.

Nu sunt date personale, în sensul GDPR:

• datele despre persoane juridice, cum ar fi denumirea firmei sau CUI-ul (considerentul 14);
• datele cu adevărat anonimizate, din care persoana nu mai poate fi identificată prin mijloace rezonabile (considerentul 26);
• datele persoanelor decedate (considerentul 27), cu mențiunea că statele membre pot adopta reguli proprii.

Datele pseudonimizate, de exemplu un cod în locul numelui, rămân date personale dacă legătura cu persoana poate fi refăcută.

Care sunt termenii-cheie din art. 4?

Cui se aplică GDPR?

GDPR se aplică oricărei organizații care prelucrează date personale total sau parțial automatizat, precum și prelucrărilor manuale ale datelor care fac parte dintr-un sistem de evidență, de exemplu un dosar organizat pe nume (art. 2 alin. 1). Nu există prag de cifră de afaceri sau de număr de angajați. Regulamentul se aplică la fel unei multinaționale, unei primării, unei școli, unui cabinet medical, unui PFA sau unei asociații de proprietari.

Există câteva excepții, dintre care cea mai importantă în practică este activitatea exclusiv personală sau domestică a unei persoane fizice (art. 2 alin. 2 lit. c), de exemplu agenda de telefon personală. Prelucrările făcute de autoritățile competente pentru prevenirea și urmărirea infracțiunilor sunt reglementate separat, prin Directiva (UE) 2016/680.

Din punct de vedere teritorial (art. 3), GDPR se aplică organizațiilor stabilite în Uniune și celor din afara Uniunii care oferă bunuri sau servicii persoanelor din Uniune ori le monitorizează comportamentul.

Unele obligații sunt modulate în funcție de risc. De exemplu, art. 30 alin. (5) scutește de registrul prelucrărilor organizațiile sub 250 de angajați, dar numai dacă prelucrarea nu prezintă risc, este ocazională și nu include categorii speciale de date. Cum salarizarea este o prelucrare permanentă, excepția se aplică rar. Detaliem acest aspect în ghidul despre documentele GDPR obligatorii.

Care sunt cele 7 principii ale GDPR?

Art. 5 din GDPR stabilește șase principii la alin. (1) și un al șaptelea, responsabilitatea, la alin. (2). Orice prelucrare trebuie să le respecte pe toate:

1. Legalitate, echitate și transparență. Datele se prelucrează pe un temei legal, corect și cu informarea persoanei.
2. Limitări legate de scop. Datele se colectează pentru scopuri determinate, explicite și legitime și nu se folosesc ulterior în mod incompatibil cu acestea.
3. Reducerea la minimum a datelor. Colectați doar ce este necesar pentru scop.
4. Exactitate. Datele trebuie să fie corecte și, unde este cazul, actualizate.
5. Limitări legate de stocare. Datele se păstrează doar cât este necesar scopului.
6. Integritate și confidențialitate. Datele sunt protejate împotriva accesului neautorizat, pierderii sau distrugerii.
7. Responsabilitate. Operatorul răspunde de respectarea principiilor și trebuie să o poată demonstra.

Al șaptelea principiu explică de ce GDPR înseamnă și documente: dacă nu puteți dovedi că respectați regulile, pentru autoritatea de control este ca și cum nu le-ați respecta.

Pe ce temei legal puteți prelucra date personale?

O prelucrare este legală doar dacă se sprijină pe cel puțin unul dintre cele șase temeiuri de la art. 6 alin. (1). Temeiul se stabilește înainte de a începe prelucrarea și se comunică persoanei vizate.

Două nuanțe importante. Autoritățile publice nu pot invoca interesul legitim pentru prelucrările efectuate în îndeplinirea atribuțiilor lor (art. 6 alin. 1, ultimul paragraf). Iar pentru categoriile speciale de date, cum ar fi datele de sănătate, este nevoie, pe lângă temeiul din art. 6, și de o condiție din art. 9 alin. (2).

Consimțământul nu este soluția universală. Dacă aveți deja o obligație legală sau un contract, consimțământul este inutil și chiar derutant, pentru că persoana îl poate retrage oricând.

Ce drepturi au persoanele vizate?

Persoanele ale căror date le prelucrați au drepturile prevăzute la art. 15–22, iar organizația trebuie să răspundă la cereri fără întârzieri nejustificate și în cel mult o lună, termen care poate fi prelungit cu două luni pentru cereri complexe sau numeroase (art. 12 alin. 3). Răspunsul este, de regulă, gratuit.

Pe lângă acestea, persoanele au dreptul să fie informate la colectarea datelor (art. 13–14), să depună plângere la autoritatea de supraveghere (art. 77) și să ceară despăgubiri pentru prejudiciul suferit (art. 82).

Ce rol are Legea 190/2018 în România?

Legea nr. 190/2018 privind măsuri de punere în aplicare a Regulamentului (UE) 2016/679 completează GDPR în punctele în care regulamentul lasă statelor membre libertatea de a reglementa. Ea nu înlocuiește GDPR și nu reia toate regulile acestuia.

Prevederile cele mai relevante pentru organizațiile din România:

• art. 3 – condiții pentru prelucrarea datelor genetice, biometrice și de sănătate în scopul deciziilor automatizate sau al creării de profiluri;
• art. 4 – prelucrarea CNP-ului; când se face în temeiul interesului legitim, operatorul trebuie să instituie garanții, printre care desemnarea unui responsabil cu protecția datelor;
• art. 5 – monitorizarea angajaților prin comunicații electronice sau camere video, inclusiv limita de 30 de zile pentru stocare, explicată în ghidul despre supravegherea video și GDPR;
• art. 13–14 – regimul special de sancționare a autorităților și organismelor publice: avertisment cu plan de remediere, apoi amendă.

Ce este ANSPDCP și ce poate face?

ANSPDCP, Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal, este autoritatea de supraveghere din România în sensul art. 51 din GDPR, organizată prin Legea nr. 102/2005. Ea verifică aplicarea GDPR, primește plângerile persoanelor vizate, primește notificările privind încălcarea securității datelor și datele de contact ale responsabililor cu protecția datelor.

Conform art. 58 din GDPR, ANSPDCP are puteri de investigare (controale, solicitări de informații, acces la spații și documente), puteri corective (avertismente, mustrări, ordine de conformare, limitarea sau interzicerea prelucrării) și poate aplica amenzi. Plafoanele și criteriile de calcul sunt explicate în ghidul despre amenzile GDPR și ANSPDCP. Informațiile oficiale, ghidurile și comunicatele autorității sunt publicate pe dataprotection.ro.

Cum vă putem ajuta

KRASP DPO S.R.L. din Călărași lucrează din 2018 cu primării, agenții județene și firme private pentru aplicarea concretă a GDPR. Dacă nu știți de unde să începeți, o evaluare inițială a conformității GDPR arată ce aveți deja și ce lipsește. Pentru construirea documentației și a procedurilor oferim implementare GDPR pas cu pas, iar pentru organizațiile care trebuie sau vor să aibă un responsabil desemnat, serviciul de DPO extern. Aflați dacă desemnarea este obligatorie pentru dumneavoastră din ghidul despre cine are nevoie de DPO sau sunați-ne la 0735 77 66 73.