Evidența activităților de prelucrare – cartografierea datelor cu caracter personal

/in , , , /by

Deși auzim des expresia ”eu nu prelucrez date cu caracter personal”, de cele mai multe ori se dovedește ca aceasta să fie eronată. Zi de zi profesioniștii prelucrează date în activitatea lor și mulți nu conștientizează cât de multe sunt în realitate.

Întrucât datele concurează strâns cu petrolul pentru titlul de ”cea mai valoroasă resursă”, operatorii ar trebui să fie conștienți de cantitatea și calitatea datelor pe care le prelucrează.

Cine trebuie să țină evidența activităților de prelucrare?

RGPD prevede la art. 30 obligația anumitor operatori de a ține evidența activităților de prelucrare aflate în responsabilitatea lor. Cerința nu este obligatorie pentru operatorii cu mai puțin de 250 angajați, cu excepția cazului în care prelucrarea pe care o efectuează este susceptibilă să genereze un risc pentru drepturile și libertățile persoanelor vizate, prelucrarea nu este ocazională sau prelucrarea include categorii speciale de date sau date cu caracter personal referitoare la condamnări penale și infracțiuni.

Așadar, simplul fapt că prelucrarea efectuată nu este ocazională obligă operatorii să țină evidența, deși aceștia au mai puțin de 250 angajați. De cele mai multe ori prelucrările de date nu sunt ocazionale, mai ales dacă există și angajați ale căror date sunt prelucrate constant în exercitarea relațiilor de serviciu și a contractului de muncă.

Totodată, dacă prelucrarea poate genera un risc, nu neapărat un risc ridicat, ea trebuie documentată într-un registru. De exemplu, prelucrarea datelor clienților persoane fizice prin intermediul unui terț (prestator de servicii) poate prezenta un risc, întrucât transferul datelor în sine este riscant.

Prin urmare, operatorii cu mai puțin de 250 angajați trebuie să își analizeze atent activitățile și să le identifice pe cele care presupun prelucrări de date ce sunt susceptibile  să genereze un risc pentru drepturile și libertățile persoanelor vizate, care nu sunt ocazionale sau care includ categorii speciale de date sau date cu caracter personal referitoare la condamnări penale și infracțiuni.

Ce este Registrul de cartografiere a datelor

Activitățile de prelucrare menționate anterior trebuie evidențiate într-un registru, denumit în general ”Registru de cartografiere”.

Acesta va cuprinde informațiile prevăzute la art. 30 alin. 1 din RGPD, printre care enumerăm: datele de contact ale operatorului, categoriile de date prelucrate, categoriile de persoane vizate, scopurile prelucrării etc.

Registrul trebuie revizuit și actualizat periodic, iar fiecare nouă activitate de prelucrare va trebui documentată în acesta.

Cum arată un Registru de cartografiere

Pentru a veni în ajutorul operatorilor, am pregătit un model de registru de cartografiere ce cuprinde informațiile minime necesare conform RGPD, pe care îl puteți găsi aici: registru de cartografiere Start Lawyers.

 

Pentru mai multe informații, nu ezitați să ne contactați aici.

Consimțământul și prelucrarea datelor angajaților

/in /by

Orice angajator prelucrează date cu caracter personal

Prelucrarea datelor cu caracter personal ale angajaților este una dintre principalele activități de prelucrare pe care orice operator cu cel puțin un angajat o efectuează.

Această prelucrare poate presupune mai multe tipuri de date, cum ar fi: date de identificare, date bancare, date medicale, date privind parcursul profesional, date familiale, date privind locația și prezența la locul de muncă etc.

De asemenea, prelucrarea acestor date se poate face pentru mai multe scopuri, respectiv: încheierea contractului individual de muncă, îndeplinirea obligațiilor legale ale angajatorului, evaluarea profesională, oferirea de beneficii, plata salariului, decontarea cheltuielilor efectuate în interes de serviciu, protejarea anumitor bunuri sau spații împotriva evenimentelor de genul furt, distrugere, efracție etc.

Principala provocare a operatorilor este identificarea temeiului potrivit pentru aceste prelucrări

Nicio prelucrare de date cu caracter personal nu se poate efectua fără un temei legal.

În practică s-a constatat o tendință de a utiliza excesiv consimțământul ca temei de prelucrare, deși acesta nu poate fi folosit decât în anumite condiții și doar dacă nu este aplicabil un alt temei dintre cele prevăzute de art. 6 alin. 1 din RGPD (obligație legală, încheierea și executarea contractului, interes legitim, protecția intereselor vitale ale persoanei vizate, interes public).

Potrivit Considerentului 32 din RGPD, consimțământul trebuie să fie liber exprimat, iar potrivit art. 7 alin. 4 atunci când se evaluează dacă consimțământul este dat în mod liber, se ține seama cât mai mult de faptul că, printre altele, executarea unui contract […] este condiționată sau nu de consimțământul cu privire la prelucrarea datelor cu caracter personal care nu este necesară pentru executarea acestui contract. Cu alte cuvinte, consimțământul angajatului pentru prelucrarea datelor sale familiale în vederea efectuării de statistici la nivel intern nu va fi liber exprimat dacă el este condiționat de păstrarea locului de muncă sau a nivelului salariului.

În cazul angajaților, este de reținut că relația angajator-angajat nu este una de egalitate, având în vedere că angajatorul este cel care de cele mai multe ori dictează atât condițiile contractuale dintre aceștia, cât și modalitatea de desfășurare a relației de serviciu, având chiar dreptul de a sancționa disciplinar angajatul, conform legii.

Consimțământul angajaților nu poate fi utilizat ca temei decât în mod excepțional

Pentru aceste motive, Grupul de lucru art. 29, devenit Comitetul European pentru Protecția Datelor, a opinat faptul că este foarte puțin probabil ca angajații să își poată exprima consimțământul pentru prelucrare într-un mod liber și neviciat, fără ca aceștia să se teamă de eventualele repercusiuni pe care le-ar putea suferi în caz de refuz de acordare a consimțământului. Ca atare, utilizarea de către operatori a consimțământului angajaților poate fi efectuată doar în situații extreme și numai dacă nu există în mod real consecințe negative pentru angajat în cazul în care acesta refuză să îl acorde.

Așadar, consimțământul nu poate fi folosit decât în mod excepțional ca temei pentru prelucrarea datelor cu caracter personal ale angajaților, de cele mai multe ori existând alte temeiuri de prelucrare dintre cele enumerate mai sus.

Subliniem faptul că informarea angajaților cu privire la prelucrarea datelor acestora este obligatorie indiferent de temeiul utilizat.

Dacă aveți întrebări cu privire la acest subiect, nu ezitați să ne contactați aici.