Implementare GDPR: documentație și proceduri adaptate activității

Ce înseamnă implementarea GDPR

Implementarea GDPR este ansamblul de documente, proceduri și măsuri prin care o organizație aplică în practică Regulamentul (UE) 2016/679 și Legea 190/2018. Rezultatul nu este un dosar pus în dulap, ci un set de reguli pe care angajații le pot urma: ce date cer, ce le spun persoanelor, cui le transmit și cât timp le păstrează.

Regulamentul cere operatorului să poată demonstra conformitatea (art. 5 alin. 2 și art. 24). Documentația este dovada, iar procedurile sunt felul în care conformitatea se menține și după ce consultantul a plecat. Tot aici intră principiul protecției datelor începând cu momentul conceperii și în mod implicit (art. 25): la orice formular sau program nou, se colectează doar datele necesare.

Cine are nevoie de implementarea GDPR

• Instituții publice și primării fără documentație sau cu documente întocmite în 2018 și neactualizate de atunci. Particularitățile sectorului public sunt descrise pe pagina GDPR pentru instituții publice.
• Firme și IMM-uri care prelucrează date ale angajaților, ale clienților sau ale furnizorilor, adică practic orice firmă cu personal.
• Organizații care au primit o plângere sau o adresă de la ANSPDCP și trebuie să arate rapid ce măsuri au luat.
• Organizații care au făcut un audit și au primit o listă de neconformități de remediat.

Dacă nu știți de unde să porniți, un audit GDPR arată mai întâi ce aveți și ce lipsește, iar implementarea acoperă apoi diferența.

Ce documente întocmim

Documentele necesare depind de activitate. Tabelul de mai jos arată setul uzual și temeiul fiecăruia; o listă comentată găsiți și în ghidul documentele GDPR obligatorii.

Registrele sunt tratate separat, pe pagina despre registrul evidenței prelucrărilor și celelalte registre GDPR.

De ce nu lucrăm cu un model copiat

Multe organizații au cumpărat în 2018 un set de documente generice. Problema apare la prima verificare: registrul enumeră prelucrări pe care organizația nu le face, nota de informare omite camerele video, iar contractul cu firma de contabilitate nu are clauzele de la art. 28.

Noi pornim de la activitatea reală. Discutăm cu persoanele care lucrează efectiv cu datele, fie că este vorba de registratură, resurse umane, contabilitate, asistență socială sau vânzări, și scriem documentele pe baza a ceea ce fac ele. Un document scris astfel poate fi aplicat și apărat.

Implementarea GDPR într-o instituție publică și într-o firmă

Pașii sunt aceiași, dar accentele diferă. Într-o primărie sau o instituție publică județeană, majoritatea prelucrărilor se bazează pe obligații legale și pe exercitarea unor atribuții de interes public, numărul de compartimente este mare, iar desemnarea unui DPO este obligatorie conform art. 37 alin. (1) lit. a) GDPR. Documentele se aprobă prin dispoziție sau decizie, iar o parte dintre ele trebuie publicate. Particular este și echilibrul dintre transparența actelor administrative și protecția datelor din ele.

Într-o firmă, prelucrările gravitează în jurul angajaților, clienților și furnizorilor. Temeiurile uzuale sunt contractul, obligațiile legale din domeniul muncii și fiscal și interesul legitim. Accentul cade pe contractele cu furnizorii, pe informarea clienților, pe marketing și pe eventualele camere video sau sisteme de monitorizare a angajaților. Documentația este de obicei mai scurtă, dar trebuie să fie la fel de exactă.

Cum lucrăm

1. Discuție inițială și ofertă. Aflăm domeniul de activitate, numărul de angajați și ce documente există, apoi vă trimitem oferta.
2. Inventarierea prelucrărilor. Luăm pe rând fiecare compartiment și notăm ce date colectează, de la cine, în ce scop, unde le păstrează și cui le transmite.
3. Analiza temeiurilor și a riscurilor. Stabilim temeiul legal pentru fiecare prelucrare (art. 6 GDPR) și identificăm riscurile principale.
4. Redactarea documentelor. Întocmim registrele, notele de informare, politicile, procedurile și clauzele contractuale.
5. Revizuire cu dumneavoastră. Parcurgem documentele împreună și le ajustăm unde activitatea reală o cere.
6. Aprobare și punere în aplicare. Documentele se aprobă prin decizie sau dispoziție internă, iar noi vă arătăm ce trebuie afișat, publicat sau semnat.
7. Instruirea personalului. Recomandăm încheierea implementării cu o instruire GDPR a angajaților, pentru ca procedurile să fie cunoscute de cei care le aplică.

Ce primiți

• documentația GDPR completă, în format editabil și în format pentru arhivă;
• documente care descriu activitatea dumneavoastră reală, nu una generică;
• lista acțiunilor practice rămase: afișe, clauze de semnat, setări de acces de modificat;
• explicații pentru persoanele care vor aplica procedurile;
• o bază pe care un DPO, intern sau extern, o poate monitoriza.

După implementare

Documentația trebuie ținută la zi. Pentru organizațiile obligate să desemneze un responsabil cu protecția datelor sau care vor sprijin continuu, abonamentul DPO extern preia monitorizarea și actualizarea curentă.

Cât costă implementarea GDPR

Implementarea GDPR se ofertează după discuția inițială, în funcție de numărul de angajați, de numărul de compartimente și de complexitatea prelucrărilor. O primărie cu mai multe servicii are alt volum de lucru decât o firmă cu cinci angajați. Informații generale despre tarife găsiți pe pagina de prețuri. KRASP DPO nu este plătitoare de TVA, așa că prețul din ofertă este prețul final.

Lucrăm la sediul dumneavoastră în județul Călărași și în județele Giurgiu, Ilfov, Ialomița, Brăila și Constanța, iar pentru restul țării implementarea se desfășoară online, prin videoconferință și schimb de documente.