Avocat GDPR în Iași
conformitate, controale ANSPDCP și sancțiuni

• firme mici și mijlocii care nu au un departament juridic propriu;
• clinici, cabinete și alte entități care prelucrează date privind sănătatea;
• angajatori care folosesc supraveghere video, pontaj electronic sau monitorizarea echipamentelor;
• asociații, fundații și asociații de proprietari;
• magazine online și firme care fac marketing pe e-mail sau telefon.

Auditul pornește de la o întrebare simplă: ce date prelucrați, de unde le aveți, ce faceți cu ele și cine are acces la ele. Pe baza răspunsurilor, se identifică golurile față de cerințele legale și riscurile cele mai mari, iar rezultatul este o listă concretă de măsuri, în ordinea priorității.

În funcție de activitate, de regulă: informarea persoanelor vizate (inclusiv pe site), politica de confidențialitate, contractele cu furnizorii care prelucrează date în numele dumneavoastră (contabilitate, IT, găzduire, curierat), procedurile interne pentru cererile persoanelor vizate și pentru incidentele de securitate, regulile privind supravegherea video și, acolo unde este obligatoriu, registrul activităților de prelucrare.

Nu toate obligațiile se aplică tuturor. Registrul activităților de prelucrare nu este cerut firmelor cu mai puțin de 250 de angajați, dar excepția este mai îngustă decât pare: registrul devine obligatoriu dacă prelucrați date în mod regulat (de exemplu, ale angajaților), dacă prelucrați date sensibile, precum cele despre sănătate, ori dacă prelucrarea prezintă riscuri pentru persoane. Responsabilul cu protecția datelor (DPO) este obligatoriu numai în anumite situații: pentru autoritățile publice și pentru cei a căror activitate principală presupune monitorizarea pe scară largă a persoanelor sau prelucrarea pe scară largă a datelor sensibile.

Documentele se redactează pentru activitatea dumneavoastră reală, nu după un model generic: un document care nu corespunde practicii nu vă protejează la un control.

Un control poate porni din oficiu sau dintr-o plângere – de exemplu, a unui fost angajat ori a unui client. Este important ca răspunsurile și documentele transmise autorității să fie coerente și complete de la început. Avocatul vă poate asista pe tot parcursul controlului și la redactarea răspunsurilor.

Când un client sau un fost angajat cere să vadă ce date aveți despre el, să le corectați ori să le ștergeți, răspunsul trebuie dat fără întârziere și în cel mult o lună. Pentru cereri complexe sau numeroase, termenul poate fi prelungit cu încă două luni, dar persoana trebuie anunțată despre prelungire tot în prima lună. Răspunsul este, ca regulă, gratuit. O cerere ignorată poate ajunge plângere la ANSPDCP.

Un laptop pierdut, un e-mail cu date trimis greșit sau un atac informatic pot fi incidente de securitate. Dacă incidentul poate pune în pericol persoanele ale căror date sunt în cauză, el trebuie notificat la ANSPDCP fără întârziere și, dacă se poate, în cel mult 72 de ore de când ați aflat de el. Când riscul pentru acele persoane este ridicat, trebuie informate și ele. Primele ore contează: ce s-a întâmplat, ce date sunt afectate și ce ați făcut trebuie documentat de la început.

Da. Procesul-verbal de sancționare și decizia prin care ANSPDCP vă obligă să luați anumite măsuri pot fi contestate la tribunal, în 15 zile de la data la care le-ați primit. Termenul este scurt, așa că e bine să ne contactați imediat. Contestația suspendă plata amenzii până la hotărârea definitivă, iar hotărârea tribunalului poate fi atacată cu apel.

Pe lângă sancțiunea autorității, o persoană ale cărei date au fost prelucrate greșit poate cere despăgubiri în instanță, inclusiv pentru prejudiciul moral. De aceea merită ca documentația să fie făcută corect de la început.

Să presupunem că o firmă din Iași are camere video la intrare și în spațiul de lucru, iar un fost angajat depune plângere la ANSPDCP. La control, firma va trebui să explice scopul supravegherii, cum i-a informat pe angajați, cât timp păstrează înregistrările și cine le vede. În cazul angajaților, regulile sunt stricte: monitorizarea trebuie să fie temeinic justificată, angajații trebuie informați dinainte, sindicatul sau reprezentanții angajaților trebuie consultați, iar înregistrările nu se păstrează, ca regulă, mai mult de 30 de zile. Dacă aceste reguli au fost stabilite și documentate dinainte, răspunsul este simplu; dacă nu, riscul de sancțiune crește. Exemplul este ilustrativ.

• auditul prelucrărilor de date și lista de măsuri prioritare;
• redactarea sau revizuirea documentației GDPR;
• clauze de protecția datelor în contractele cu clienții, angajații și furnizorii;
• răspunsuri la cererile persoanelor vizate (acces, ștergere, opoziție etc.);
• asistență la controalele ANSPDCP;
• contestarea în instanță a sancțiunilor aplicate.

Vedeți și paginile despre asistența juridică pentru firme, despre încălcarea vieții private și despre contenciosul administrativ și fiscal.