# KRASP DPO

> KRASP DPO S.R.L. este o firmă de consultanță GDPR din Călărași, România, activă din 2018. Oferă servicii de DPO extern (responsabil cu protecția datelor), consultanță, audit și implementare GDPR, instruire a angajaților, analiză de riscuri și registre GDPR pentru primării, instituții publice și firme private. Abonamentul cu DPO extern costă 1500 lei pe trimestru pentru organizații cu mai puțin de 40 de angajați (preț final, firma nu este plătitoare de TVA).

- Sediu: Str. Caișilor nr. 2, Corp A, Călărași 910114, Județul Călărași
- Telefon: 0735 77 66 73 | Email: kraspdpo@gmail.com
- CUI: 39203884 | Nr. Reg. Com.: J2018000246513
- Zonă: județul Călărași și județele Giurgiu, Ilfov, Ialomița, Brăila și Constanța la sediu; toată România online
- Fondator: Gabriel Crăciunică, 23 de ani de experiență în securitate; Certificat manager de securitate; Certificat evaluator de risc la securitatea fizică; Înscris în Registrul național al evaluatorilor de risc la securitatea fizică
- Clienți: primării, agenții județene, firme private
- Abonamentul include: Rolul de DPO extern: desemnare și comunicarea către ANSPDCP; Întocmirea registrului riscurilor; Evaluarea periodică a riscurilor; Consilierea personalului de conducere și de execuție; Instructaj GDPR periodic pentru personal
- Program: Luni–Vineri, 10:00–18:00; sâmbătă și duminică închis

## Servicii
- [DPO extern](https://kraspdpo.ro/servicii/dpo-extern/): Un DPO extern este responsabilul cu protecția datelor (Data Protection Officer) pe care îl contractați ca serviciu, în loc să angajați pe cineva pentru acest rol. Primăriile și celelalte autorități publice sunt obligate să desemneze un DPO, iar firmele îl pot desemna voluntar. KRASP DPO preia acest rol cu abonament de 1.500 lei pe trimestru pentru organizațiile sub 40 de angajați.
- [Consultanță GDPR](https://kraspdpo.ro/servicii/consultanta-gdpr/): Consultanța GDPR înseamnă răspunsuri concrete, date de un specialist, la întrebările pe care le ridică prelucrarea datelor personale în activitatea de zi cu zi: ce temei legal aveți, ce scrieți într-un formular, cum răspundeți unei cereri, ce clauze puneți într-un contract. Este utilă primăriilor, instituțiilor publice și firmelor care au deja o bază de documente, dar au nevoie de un consultant GDPR pentru situațiile noi.
- [Implementare GDPR](https://kraspdpo.ro/servicii/implementare-gdpr/): Implementarea GDPR este procesul prin care o organizație își pune în acord activitatea cu Regulamentul (UE) 2016/679: identifică datele personale pe care le prelucrează, întocmește documentele obligatorii și introduce procedurile prin care le aplică. Are nevoie de ea orice primărie, instituție sau firmă care nu are încă documentație GDPR sau care are un set de documente copiat, care nu mai corespunde realității.
- [Audit GDPR](https://kraspdpo.ro/servicii/audit-gdpr/): Auditul GDPR este o verificare inițială, de tip diagnostic, a modului în care o organizație prelucrează datele personale, comparat cu cerințele Regulamentului (UE) 2016/679 și ale Legii 190/2018. Este necesar atunci când nu știți exact ce s-a făcut până acum în materie de protecția datelor, când documentația este veche sau înaintea unei implementări ori a desemnării unui DPO. Rezultatul este un raport scris cu neconformitățile găsite și ordinea în care trebuie remediate.
- [Evaluare conformitate GDPR](https://kraspdpo.ro/servicii/evaluare-conformitate-gdpr/): Evaluarea conformității GDPR este verificarea periodică, de obicei anuală, a faptului că documentele și măsurile de protecție a datelor deja implementate sunt aplicate și funcționează. Spre deosebire de audit, care este un diagnostic inițial, evaluarea pornește de la o implementare existentă și urmărește dacă a rămas valabilă. Este potrivită pentru primării, instituții și firme care au documentația GDPR făcută și vor să o păstreze la zi.
- [Instruire GDPR angajați](https://kraspdpo.ro/servicii/instruire-gdpr-angajati/): Instruirea GDPR a angajaților este sesiunea prin care personalul care lucrează cu date personale află ce are voie să facă, ce nu și cum reacționează la o cerere sau la un incident. Este necesară în orice primărie, instituție sau firmă în care angajații au acces la date ale cetățenilor, clienților, pacienților sau colegilor. KRASP DPO ține instruirea la sediul clientului în județul Călărași și în județele Giurgiu, Ilfov, Ialomița, Brăila și Constanța sau online, cu proces-verbal și evidența instruirii la dosar.
- [Analiză de riscuri GDPR](https://kraspdpo.ro/servicii/analiza-riscuri-gdpr/): Analiza de risc GDPR identifică ce se poate întâmpla rău cu datele personale pe care le prelucrați, cât de grave ar fi consecințele pentru persoane și ce măsuri de securitate reduc aceste riscuri, conform art. 32 din GDPR. Pentru prelucrările cu risc ridicat, art. 35 cere în plus o evaluare de impact (DPIA). Serviciul este necesar oricărei organizații care trebuie să justifice măsurile de securitate alese, și în special celor care folosesc supraveghere video, prelucrează date medicale sau date ale unor persoane vulnerabile.
- [Registre GDPR](https://kraspdpo.ro/servicii/registru-evidenta-prelucrari/): Registrul evidenței activităților de prelucrare este documentul cerut de art. 30 din GDPR în care organizația descrie, pentru fiecare prelucrare de date personale, scopul, categoriile de persoane și de date, destinatarii, termenele de ștergere și măsurile de securitate. Trebuie ținut de practic orice primărie, instituție sau firmă cu angajați, alături de registrul incidentelor de securitate (art. 33 alin. 5) și de registrul riscurilor. KRASP DPO întocmește aceste registre pe baza activității reale a organizației.

## GDPR pe tipuri de organizații
- [GDPR pentru primării](https://kraspdpo.ro/gdpr-pentru/primarii/): Orice primărie este obligată de art. 37 alin. (1) lit. a) din GDPR să numească un responsabil cu protecția datelor (DPO), indiferent de numărul de locuitori sau de angajați. Rolul poate fi îndeplinit de un funcționar propriu sau de un DPO extern, pe bază de contract de servicii. KRASP DPO lucrează cu primării și preia acest rol cu abonament trimestrial.
- [GDPR pentru instituții publice](https://kraspdpo.ro/gdpr-pentru/institutii-publice/): Agențiile județene, direcțiile, serviciile publice deconcentrate și descentralizate și consiliile județene sunt autorități publice, deci trebuie să numească un responsabil cu protecția datelor (art. 37 alin. (1) lit. a) din GDPR). Riscurile specifice lor țin de accesul la baze de date naționale, de volumul mare de dosare ale beneficiarilor și de schimbul de date cu alte instituții. KRASP DPO lucrează cu agenții județene și asigură rolul de DPO extern.
- [GDPR pentru firme și imm-uri](https://kraspdpo.ro/gdpr-pentru/firme-imm/): Orice firmă care are angajați, clienți persoane fizice sau un site cu formular de contact prelucrează date personale și trebuie să respecte GDPR, indiferent de mărime. Un IMM are nevoie, de regulă, de registrul prelucrărilor, note de informare, clauze contractuale cu furnizorii și reguli clare pentru angajați; DPO-ul este obligatoriu doar în anumite situații. KRASP DPO oferă firmelor cu sub 40 de angajați un abonament de 1.500 lei pe trimestru, preț final.
- [GDPR pentru școli și grădinițe](https://kraspdpo.ro/gdpr-pentru/scoli-gradinite/): Școlile și grădinițele de stat sunt autorități publice, deci trebuie să numească un responsabil cu protecția datelor (art. 37 alin. (1) lit. a) din GDPR). Ele prelucrează în principal date ale minorilor: catalog, dosare, date medicale, fotografii și conturi pe platforme online. Publicarea fotografiilor cu copiii necesită, de regulă, acordul scris al părinților, separat de înscriere.
- [GDPR pentru cabinete medicale](https://kraspdpo.ro/gdpr-pentru/cabinete-medicale/): Datele privind sănătatea sunt o categorie specială de date (art. 9 GDPR), iar un cabinet medical le poate prelucra fără consimțământul GDPR al pacientului, în baza art. 9 alin. (2) lit. h), pentru diagnostic și tratament, sub obligația de secret profesional. Cabinetul are nevoie de registru, informarea pacienților, contracte cu furnizorii de software și laboratoare și măsuri de securitate stricte. DPO-ul devine obligatoriu atunci când datele de sănătate sunt prelucrate pe scară largă, cum se întâmplă de regulă la clinici și rețele.
- [GDPR pentru asociații de proprietari](https://kraspdpo.ro/gdpr-pentru/asociatii-proprietari/): Asociația de proprietari este operator de date personale: prelucrează nume, număr de persoane, consumuri și restanțe ale proprietarilor, iar adesea și imagini de pe camerele din bloc. Trebuie să aibă un temei legal pentru fiecare prelucrare, să informeze locatarii, să limiteze datele de pe avizier la ce este necesar și să aibă contract cu administratorul care lucrează cu aceste date. DPO-ul nu este, de regulă, obligatoriu pentru o asociație.
- [Consultanță GDPR în Călărași](https://kraspdpo.ro/consultanta-gdpr-calarasi/)

## Ghid GDPR
- [Amenzi GDPR și sancțiuni ANSPDCP: cât riscă firmele și autoritățile publice](https://kraspdpo.ro/ghid-gdpr/amenzi-gdpr-anspdcp/): GDPR prevede două plafoane de amendă: până la 10 milioane euro sau 2% din cifra de afaceri anuală mondială pentru încălcarea obligațiilor organizatorice și până la 20 milioane euro sau 4% pentru încălcarea principiilor, a temeiurilor legale și a drepturilor persoanelor, aplicându-se valoarea mai mare. Cuantumul concret se stabilește după criteriile din art. 83 alin. (2). În România, autoritățile și organismele publice primesc mai întâi avertisment cu plan de remediere, iar amenda, de la 10.000 la 100.000 lei sau până la 200.000 lei, se poate aplica ulterior, potrivit Legii 190/2018.
- [Ce este GDPR? Regulamentul (UE) 2016/679 explicat pe înțelesul tuturor](https://kraspdpo.ro/ghid-gdpr/ce-este-gdpr/): GDPR este Regulamentul (UE) 2016/679, aplicabil direct în România din 25 mai 2018, care stabilește regulile pentru prelucrarea datelor despre persoane fizice. Se aplică oricărei organizații care folosește astfel de date, indiferent de mărime, și cere ca fiecare prelucrare să aibă un temei legal, un scop clar și măsuri de securitate. În România este completat de Legea nr. 190/2018, iar respectarea lui este verificată de ANSPDCP.
- [Cine are nevoie de DPO? Când este obligatoriu responsabilul cu protecția datelor](https://kraspdpo.ro/ghid-gdpr/cine-are-nevoie-de-dpo/): Desemnarea unui responsabil cu protecția datelor (DPO) este obligatorie în trei situații prevăzute de art. 37 alin. (1) GDPR: pentru autoritățile și organismele publice, pentru organizațiile a căror activitate principală presupune monitorizarea periodică și sistematică pe scară largă a persoanelor și pentru cele care prelucrează pe scară largă date sensibile sau date penale. În România, Legea 190/2018 cere în plus un DPO operatorilor care prelucrează CNP-ul în temeiul interesului legitim, iar DPO poate fi angajat propriu sau extern, pe bază de contract de servicii.
- [Ce documente GDPR trebuie să aibă o firmă sau o instituție? Lista completă](https://kraspdpo.ro/ghid-gdpr/documente-gdpr-obligatorii/): GDPR nu conține o listă unică de documente, dar cere expres câteva: registrul evidenței prelucrărilor (art. 30), informarea persoanelor vizate (art. 13–14), contractele cu persoanele împuternicite (art. 28), evidența încălcărilor securității datelor (art. 33 alin. 5) și evaluarea de impact atunci când este necesară (art. 35). Celelalte documente, cum ar fi politica de securitate, procedura pentru cererile persoanelor sau evidența instruirilor, decurg din obligația operatorului de a demonstra conformitatea (art. 5 alin. 2 și art. 24).
- [Camere video și GDPR: ce spune legea despre supravegherea video în firmă și a angajaților](https://kraspdpo.ro/ghid-gdpr/gdpr-supraveghere-video/): Supravegherea video într-o firmă este permisă dacă are un scop legitim, cum ar fi securitatea persoanelor și a bunurilor, dacă persoanele sunt informate și dacă înregistrările se păstrează doar cât este necesar. Pentru monitorizarea angajaților, art. 5 din Legea 190/2018 cere în plus interes legitim temeinic justificat, informarea prealabilă completă a angajaților, consultarea sindicatului sau a reprezentanților, dovada că mijloacele mai puțin intruzive nu au fost eficiente și stocarea de cel mult 30 de zile, cu excepția situațiilor prevăzute expres de lege sau a cazurilor temeinic justificate.
- [Încălcarea securității datelor: ce faceți în 72 de ore și cum notificați ANSPDCP](https://kraspdpo.ro/ghid-gdpr/incident-securitate-date-72-ore/): La o încălcare a securității datelor personale, operatorul trebuie să notifice ANSPDCP fără întârzieri nejustificate și, dacă este posibil, în cel mult 72 de ore de la momentul în care a luat cunoștință de ea, cu excepția cazului în care încălcarea nu este susceptibilă să genereze un risc pentru persoane (art. 33 GDPR). Dacă riscul este ridicat, trebuie informate și persoanele afectate (art. 34), iar orice încălcare, notificată sau nu, se consemnează în registrul intern (art. 33 alin. 5).

## Informații
- [Prețuri](https://kraspdpo.ro/preturi/)
- [Despre noi](https://kraspdpo.ro/despre-noi/)
- [Întrebări frecvente](https://kraspdpo.ro/intrebari-frecvente/)
- [Contact](https://kraspdpo.ro/contact/)