Protectia datelor cu caracter personal. Care sunt obligatiile?

In analiza de mai jos, avem o societate comerciala cu cod CAEN 2511, cu 115 angajati.

Vom vedea care sunt obligatiile societatii in ceea ce priveste prelucrarea datelor cu caracter personal.

...click AICI pentru Ghidul de Protectia Datelor pentru Contabili <<

Iata raspunsul specialistului!

Regulamentul 679/2016 aduce cetateanului european noi drepturi care au rolul sa protejeze viata privata a acestuia. Aceste noi norme se aplica in toate statele membre UE si chiar in afara UE cand entitatea care opereaza date comercializeaza bunuri sau presteaza servicii pe teritoriul comunitar.

Astfel, regulamentul contine prevederi care au caracter de noutate in domeniul protectiei datelor cu caracter personal. Individul ale carui date sunt procesate are dreptul sa solicite operatorului stergerea datelor cu caracter personal in una dintre urmatoarele situatii:

• Datele nu mai fac obiectul prelucrarii initiale. De exemplu, la expirarea unui contract, bancar, servicii, cumparare de produse, persoana poate solicita ca datele sale personale sa fie radiate.
• Cand nu exista niciun motiv pentru colectarea si prelucrarea datelor. Altfel spus, datele sunt solicitate fara sa existe un scop special pentru care ele sa fie necesare si fara de care sa nu existe o relatie intre companie si individ, cum ar fi cazul unui contract.
• Datele au fost prelucrate in mod ilegal.
• Operatorul se afla sub incidenta unor reglementari legale locale sau europene.

Registrul de Evidenta Fiscala PFA

Vreau acest produs →

Cartea verde a contabilitatii 2026

Vreau acest produs →

Cartea verde a Contabilitatii 2026

Vreau acest produs →

...click AICI pentru Ghidul de Protectia Datelor pentru Contabili <<

Operatorul (compania) care prelucreaza datele trebuie sa se conformeze "fara intarziere". In cazul in care operatorul a facut publice datele, va trebui sa ia toate masurile tehnice rezonabile si va informa si alti operatori (companii) pentru stergerea linkurilor relevante, cand este cazul.

Persoana poate solicita portarea datelor de la un operator de date la altul (de la o companie la alta).

Portabilitatea va fi asigurata la nivel de operatori (companii). Astfel, individul are mai multa flexibilitate si siguranta cu privire la cine ii administreaza datele cu caracter personal .

Fiecare persoana are dreptul sa ceara firmei care prelucreaza datele (operator) sa rectifice informatiile incorecte, sa ceara completarea acestora cand a constatat ca datele contin erori. In aceasta situatie, persoana va completa declaratii suplimentare.

Persoana ale carei date sunt prelucrate are dreptul sa solicite restrictionarea prelucrarii datelor cu caracter personal, fara ca operatorul sa le stearga, in urmatoarele cazuri:

• Datele nu sunt exacte
• Prelucrarea datelor este ilegala sau abuziva
• Operatorul nu mai are nevoie de informatiile respective, dar individul le poate solicita pentru cauze in instanta sau interes personal.

Companiile sunt cele care trebuie sa asigure protectia datelor cu caracter personal ale persoanei si care trebuie sa gestioneze si prelucreze datele in siguranta. Din acest motiv, companiile sunt privite ca un one stop shop privind gestionarea acestor informatii personale.De asemenea, firmele sunt obligate sa informeze cetateanul cine sunt, ce date colecteaza si in ce scop.

Cand datele sunt culese direct de compania care colecteaza si prelucreaza datele cu caracter personal cel vizat trebuie informat de reprezentantul companiei in mod complet si corect, furnizandu-i-se urmatoarele detalii despre operator si prelucrare:

• Identitatea, datele de contact ale companiei si ale reprezentantului acesteia, cand este cazul;
• Datele de contact ale responsabilului cu protectia datelor;
• Scopul si baza legala in care datele sunt colectate si prelucrate;
• Interesele legitime ale unor terte parti in legatura cu prelucrarea (spre exemplu, operatori de plati in cazul website-urilor)
• Perioada pe care vor fi salvate datele;
• Detalii privind drepturile sale de stergere, portare, de a se opune la colectare / prelucrare sau de a solicita modificarea datelor.

...click AICI pentru Ghidul de Protectia Datelor pentru Contabili <<

Odata cu intrarea in vigoare a Regulamentului, operatorii de date cu caracter personal vor trebui sa numeasca un DPO - data privacy officer (eng) - o persoana care este responsabil in numele companiei de legalitatea si conformitatea procesele de colectare si prelucrare a datelor cu caracter personal, care trebuie sa asigure transparenta relatiei intre operatorul de date (companie) si persoana vizata.

Privacy by design & Privacy by default - doua noi principii esentiale pentru operatorii de date

Privacy by design - esti dezvoltator de aplicatii (care vor prelucra si date personale)? Trebuie sa te asiguri, inca din stadiul dezvoltarii, ca aplicatia ta va respecta regulile si principiile stabilite de Regulament

Privacy by default - furnizezi o aplicatie care prelucreaza date personale? Trebuie sa te asiguri ca setarile initiale le vor permite utilizatorilor sa isi mentina controlul asupra vietii lor private / asupra a ceea ce posteaza sau impartasesc cu alti utilizatori.

Companiile dezvoltatoare de aplicatii web si programe care implicit prelucreaza date cu caracter personal trebuie ca inca de la etapa de implementare - dezvoltare a programului respectiv sa proiecteze aplicatia astfel incat sa asigure utilizatorului posibilitatea de a -si gestiona datele cu caracter personal, astfel incat sa isi pastreze intimitatea (privacy by design). Utilizatorul trebuie sa poata administra si avea control asupra propriilor postari si a datelor cu caracter privat pe toata durata utilizarii (privacy by default).

Sanctiunile aplicate pentru nerespectarea regulamentului sunt drastice, reprezentand intre 2% si 4 % din cifra de afaceri la nivel international a respectivei companii si pot sa ajunga pana la 10 - 20 milioane de euro.

Pe site-ul AUTORITATII NATIONALE DE SUPRAVEGHERE A PRELUCRARII DATELOR CU CARACTER PERSONAL exista un Ghid orientativ de aplicare a Regulamentului privind protectia datelor, destinat operatorilor.

Potrivit acestui GHID, Regulamentul se aplica:

- Prelucrarii datelor cu caracter personal in cadrul activitatilor derulate la sediul unui operator sau al unei persoane imputernicite de operator pe teritoriul Uniunii, indiferent daca prelucrarea are loc sau nu pe teritoriul Uniunii.

- Prelucrarii datelor cu caracter personal ale unor persoane vizate care se afla in Uniune de catre un operator sau o persoana imputernicita de operator care nu este stabilit(a) in Uniune, atunci cand activitatile de prelucrare sunt legate de: oferirea de bunuri sau servicii unor astfel de persoane vizate in Uniune, indiferent daca se solicita sau nu efectuarea unei plati de catre persoana vizata; sau monitorizarea comportamentului lor daca acesta se manifesta in cadrul Uniunii.

- Prelucrarii datelor cu caracter personal de catre un operator care nu este stabilit in Uniune, ci intr-un loc in care dreptul intern se aplica in temeiul dreptului international public.
Obligatii ale operatorilor cu date personale:

- Desemnarea unui responsabil cu protectia datelor este obligatorie din 25 mai 2018, raportat la dispozitiile art. 37 - 39 din Regulamentul General privind Protectia Datelor, in cazul in care operatorul sau persoana imputernicita de operator: este o autoritate publica sau un organism public, cu exceptia instantelor in exercitarea functiei lor jurisdictionale; desfasoara o activitate principala care conduce la realizarea unei monitorizari constante si sistematice pe scara larga a persoanelor; desfasoara o activitate principala care consta in prelucrarea pe scara larga de date sensibile (cum ar fi : date privind originea rasiala sau etnica, convingerile religioase, apartenenta sindicala, date genetice, biometrice, privind starea de sanatate) sau referitoare la condamnari penale si infractiuni.

- Toti operatorii din sistemul public, persoanele imputernicite de operator, precum si operatorii din sistemul privat cu peste 250 de angajati, au obligatia cartografierii prelucrarilor de date cu caracter personal efectuate, raportat la prevederile art. 30 din Regulamentul General privind Protectia Datelor.

Chiar si operatorii din sistemul privat cu mai putin de 250 de angajati au obligatia cartografierii prelucrarilor in cazurile in care prelucrarea pe care o efectueaza este susceptibila sa genereze un risc pentru drepturile si libertatile persoanelor vizate, in cazul in care prelucrarea nu este ocazionala sau prelucrarea include categorii speciale de date ori date cu caracter personal referitoare la condamnari penale si infractiuni. In acest sens: Pentru a evalua in mod eficient impactul RGPD asupra activitatii entitatii, este necesara identificarea prelucrarilor de date cu caracter personal efectuate si pastrarea evidentei activitatilor de prelucrare. Pentru a avea o evidenta completa si exacta a prelucrarilor de date cu caracter personal efectuate si pentru a raspunde noilor exigente, trebuie identificate, in prealabil, cu precizie: diferitele prelucrari de date cu caracter personal; categoriile de date cu caracter personal prelucrate; scopurile urmarite prin operatiunile de prelucrare a datelor; persoanele care prelucreaza aceste date; fluxurile de date, indicand originea si destinatia datelor, in special pentru a identifica eventualele transferuri de date in afara Uniunii Europene.

- Operatorul si persoana imputernicita de operator identifica actiunile care trebuie intreprinse pentru conformarea la cerintele impuse de RGPD. Se prioritizeaza aceste actiuni in functie de riscurile pe care le prezinta prelucrarile efectuate pentru drepturile si libertatile persoanelor vizate.

- In cazul in care au fost identificate prelucrari de date cu caracter personal susceptibile de a prezenta riscuri ridicate pentru drepturile si libertatile persoanelor fizice, operatorul va efectua o evaluare a impactului asupra protectiei datelor, in conditiile art. 35 din Regulamentul General privind Protectia Datelor.

- Pentru a asigura permanent un nivel ridicat de protectie a datelor cu caracter personal, operatorul trebuie sa elaboreze proceduri interne care sa garanteze respectarea protectiei datelor in orice moment, luand in considerare toate evenimentele care pot aparea pe parcursul efectuarii prelucrarilor de date, precum: brese de securitate; solicitari privind exercitarea drepturilor persoanelor vizate; modificarea datelor cu caracter personal colectate; schimbarea prestatorului.

In concluzie:

- aveti obligatia desemnarii unei persoane din cadrul firmei care este responsabila cu protectia datelor;

- se stabilesc proceduri de lucru in ceea ce priveste protectia datelor;

- se va intocmi un registru in care sa se motiveze scopul pentru care au fost solicitate si prelucrate datele personale ale persoanelor fizice;

- regulamentul se aplica chiar daca se vand produse catre persoane fizice intr-o anumita perioada a anului.

- datele salariatilor se prelucreaza prin REVISAL si se aplica Regulamentul.

Raspuns oferit pentru www.portalcodulfiscal.ro de Mariana Prejbeanu, expert contabil, consultant fiscal si auditor financiar.