DPO extern: responsabil cu protecția datelor pentru instituții și firme

Ce este un DPO extern

Un DPO extern este un responsabil cu protecția datelor care nu face parte din personalul organizației, ci își exercită rolul pe baza unui contract de servicii. Regulamentul (UE) 2016/679 (GDPR) permite explicit această variantă, la art. 37 alin. (6): responsabilul poate fi un angajat sau poate îndeplini sarcinile în baza unui contract de prestări servicii.

În practică, KRASP DPO preia rolul de responsabil cu protecția datelor pentru organizația dumneavoastră. Suntem desemnați oficial, datele noastre de contact sunt comunicate către ANSPDCP și publicate, iar angajații, cetățenii, clienții și autoritatea de supraveghere au un interlocutor clar pentru orice problemă legată de datele personale.

Sarcinile unui DPO sunt stabilite de art. 39 GDPR:

• informează și consiliază conducerea și angajații cu privire la obligațiile care le revin;
• monitorizează respectarea regulamentului și a politicilor interne;
• oferă consiliere la evaluarea impactului asupra protecției datelor (DPIA);
• cooperează cu ANSPDCP și este punctul de contact pentru aceasta.

Cine are nevoie de un responsabil cu protecția datelor

Desemnarea unui DPO este obligatorie în trei situații, prevăzute de art. 37 alin. (1) GDPR:

• autoritățile și organismele publice, cu excepția instanțelor care acționează în exercitarea funcției judiciare. Aici intră primăriile, consiliile județene, agențiile și direcțiile județene, unitățile de învățământ de stat;
• organizațiile ale căror activități principale presupun monitorizarea periodică și sistematică, pe scară largă, a persoanelor;
• organizațiile ale căror activități principale presupun prelucrarea pe scară largă a categoriilor speciale de date, cum sunt datele privind sănătatea, sau a datelor privind condamnări penale.

Pentru o primărie sau o instituție publică județeană, întrebarea nu este dacă aveți nevoie de DPO, ci cine îndeplinește rolul. Criteriile sunt explicate pe larg în ghidul cine are obligația să desemneze un DPO, iar situația administrației locale este tratată separat pe pagina GDPR pentru primării.

Pentru autoritățile publice, Legea 190/2018 prevede un regim de sancționare distinct: la prima constatare, ANSPDCP aplică avertisment și un plan de remediere, iar dacă măsurile nu sunt duse la capăt urmează amenda, între 10.000 și 200.000 lei. Detalii despre acest mecanism găsiți în ghidul despre amenzile aplicate de ANSPDCP.

Firmele private care nu se încadrează în cazurile de mai sus pot desemna un DPO voluntar. Mulți patroni de IMM-uri aleg varianta externă pentru a avea pe cine suna când apare o cerere de acces, un control sau un incident, fără să angajeze o persoană doar pentru acest rol.

DPO intern sau DPO extern

Ce include abonamentul DPO extern

Abonamentul trimestrial acoperă rolul de DPO pe toată durata contractului, nu doar o vizită. Concret, include:

• Desemnarea oficială ca DPO. Pregătim actul de desemnare (dispoziție sau decizie pentru instituțiile publice, decizie a administratorului pentru firme) și comunicăm datele de contact ale DPO către ANSPDCP, conform art. 37 alin. (7). Vă indicăm și unde trebuie publicate aceste date.
• Întocmirea registrului riscurilor. Identificăm riscurile pentru datele personale din activitatea dumneavoastră și le documentăm într-un registru al riscurilor, cu măsurile de reducere a fiecăruia.
• Evaluarea periodică a riscurilor. Reluăm evaluarea la intervale regulate și ori de câte ori se schimbă ceva important: un program informatic nou, un sediu nou, camere video, un furnizor nou.
• Consilierea personalului de conducere și de execuție. Răspundem la întrebările conducerii și ale angajaților despre formulare, contracte cu furnizori, publicarea documentelor, cererile persoanelor vizate sau incidentele de securitate.
• Instructaj periodic al personalului. Instruim periodic angajații care lucrează cu date personale, pe exemple din activitatea lor, iar instructajul rămâne consemnat la dosar. Detalii pe pagina despre instruirea GDPR a angajaților.

Ca responsabil desemnat, suntem și punctul de contact pentru ANSPDCP și pentru persoanele ale căror date le prelucrați, conform art. 38 și 39 GDPR. Pașii de urmat la un incident sunt descriși în ghidul despre notificarea unui incident de securitate în 72 de ore.

Cum lucrăm

1. Discuție inițială. Stabilim telefonic sau online ce activitate aveți, câți angajați sunt și ce documentație GDPR există deja.
2. Ofertă și contract. Pentru organizațiile sub 40 de angajați prețul este fix; peste acest prag trimitem o ofertă scrisă.
3. Verificarea punctului de plecare. Dacă documentația lipsește sau este depășită, vă recomandăm întâi implementarea GDPR, pentru ca DPO-ul să aibă ce monitoriza.
4. Desemnare și comunicare către ANSPDCP. Pregătim actul de desemnare, îl semnați, iar noi transmitem datele de contact ale DPO.
5. Activitate curentă. Pe parcursul fiecărui trimestru răspundem la întrebări, tratăm cererile și incidentele și urmărim conformitatea.
6. Raport și planificare. La intervale stabilite prin contract vă transmitem raportul și prioritățile pentru perioada următoare.

Ce primiți

• un responsabil cu protecția datelor desemnat oficial, cu date de contact comunicate către ANSPDCP;
• un singur interlocutor pentru toate întrebările legate de date personale;
• răspunsuri scrise la cererile persoanelor vizate, în termenul legal;
• sprijin imediat în caz de incident de securitate;
• rapoarte periodice pe care le puteți prezenta conducerii, consiliului local sau la un control.

Cât costă serviciul DPO extern

Pentru organizațiile cu sub 40 de angajați, abonamentul DPO extern costă 1.500 lei pe trimestru, adică echivalentul a 500 de lei pe lună. KRASP DPO nu este plătitoare de TVA, așa că suma este prețul final.

Peste 40 de angajați, volumul de muncă crește odată cu numărul de persoane și de activități de prelucrare, de aceea facem o cerere de ofertă personalizată. Toate variantele sunt prezentate pe pagina de prețuri pentru serviciile GDPR.

De ce KRASP DPO

KRASP DPO S.R.L. activează din aprilie 2018, adică dinainte ca GDPR să se aplice, la 25 mai 2018. Fondatorul firmei are 23 de ani de experiență profesională, dintre care 14 ani în domeniul securității înainte de înființarea firmei. Este certificat ca manager de securitate și ca evaluator de risc la securitatea fizică, înscris în registrul național al evaluatorilor de risc la securitatea fizică. Această pregătire contează direct în partea de măsuri de securitate cerută de art. 32 GDPR.

Lucrăm pentru primării, instituții publice județene și firme private. Venim la sediul dumneavoastră în județul Călărași și în județele Giurgiu, Ilfov, Ialomița, Brăila și Constanța, iar pentru restul țării lucrăm online. Pentru o discuție inițială, folosiți pagina de contact sau sunați la 0735 77 66 73.