GDPR este regulamentul european care stabilește cum au voie firmele să colecteze, să folosească și să păstreze datele personale ale oamenilor. Cine crede că „e treaba marilor companii” greșește, pentru că și o firmă cu doi angajați ține numele, telefoanele și adresele clienților, datele salariaților sau imagini de la camerele de supraveghere. Articolul explică pe înțeles ce înseamnă acest lucru pentru o firmă mică, ce documente merită să ai și ce greșeli se fac des; este un material general, fără sfat juridic personalizat.
Ce sunt datele personale și când le prelucrează firma ta
Datele personale sunt orice informație care identifică o persoană, direct sau indirect, de la nume și telefon până la adresa de e-mail, numărul de înmatriculare sau o imagine. Prelucrarea înseamnă orice operațiune cu ele: le colectezi, le stochezi, le trimiți, le consulți, le ștergi. Dacă faci vreuna dintre acestea cu informații despre oameni, firma ta este ceea ce regulamentul numește operator de date.
Situațiile obișnuite sunt ușor de recunoscut: facturile emise persoanelor fizice, formularul de contact de pe site, dosarele angajaților, CV-urile primite, înregistrările camerelor video, listele de clienți din programul de facturare. Pentru documentele de personal, vezi și Dosarul de personal: ce documente păstrezi pentru angajați, unde apar categorii clare de date.
Datele sensibile
Unele categorii cer o atenție sporită, cum ar fi datele despre sănătate, convingeri, apartenența sindicală sau datele biometrice. În firmele mici apar mai ales la fișele de medicina muncii și la evidența concediilor medicale; detalii de context găsești în Medicina muncii: fișa de aptitudine și obligațiile firmei. Aceste date se accesează doar de persoanele care chiar au nevoie de ele.
Pe ce te bazezi când folosești datele
Pentru fiecare prelucrare ai nevoie de un temei legal, adică de un motiv recunoscut de regulament pentru care ai voie să folosești datele. Cele mai frecvente sunt executarea unui contract, îndeplinirea unei obligații legale, interesul legitim al firmei și consimțământul persoanei.
| Temei | Exemplu din firma mică | Observație |
|---|---|---|
| Contract | livrezi un produs și ai nevoie de adresa clientului | datele strict necesare |
| Obligație legală | păstrezi facturile și actele salariaților | termene stabilite de lege |
| Interes legitim | păstrezi imagini de la o cameră pentru pază | cântărit față de drepturile persoanei |
| Consimțământ | trimiți newslettere comerciale | liber, clar, se poate retrage |
Consimțământul nu este soluția pentru orice. Dacă ai nevoie de date ca să execuți un contract sau să respecți legea, nu ceri bifa de acord, ci informezi persoana. Cere consimțământ doar acolo unde chiar are sens, cum e marketingul direct.
Ce documente merită să ai
O firmă mică nu are nevoie de zeci de documente, dar de câteva simple și actualizate. Fără ele, în cazul unei plângeri sau al unui control, nu poți arăta ce ai făcut.
- Un registru al prelucrărilor: un tabel cu ce date ai, de la cine, de ce, unde sunt stocate, cât timp le păstrezi și cine are acces.
- O notă de informare pentru clienți și pentru angajați, scrisă pe înțeles, cu scopul prelucrării, perioada de păstrare și drepturile persoanei.
- O politică de cookie-uri și de confidențialitate pe site, dacă ai site.
- Contracte cu furnizorii care primesc date de la tine și lucrează în numele tău, de pildă contabilul sau firma de găzduire.
- O procedură scurtă pentru cererile persoanelor și pentru incidente.
Sfat: nu copia o politică de la un concurent. Ea trebuie să descrie ce faci tu, nu ce face altcineva, iar diferențele se văd la prima întrebare a unui client.
Relația cu furnizorii
Contabilul, firma de salarizare, serviciul de e-mail sau cel de stocare în cloud primesc date personale de la tine. Cu ei ai nevoie de un contract care să prevadă cum prelucrează datele. Pentru alegerea contabilului cu aceste criterii, vezi Cum alegi contabilul firmei: întrebări, contract și colaborare; pentru salarizarea externalizată, Salarizarea externalizată: ce face o firmă de payroll.
Drepturile persoanelor și incidentele
Orice persoană poate cere să afle ce date ai despre ea, să le corecteze, să le ștergi în anumite condiții sau să se opună unor prelucrări, iar firma trebuie să răspundă în termenul legal. Cererile se tratează în scris, după verificarea identității solicitantului, iar răspunsul se păstrează. Ștergerea nu este absolută: dacă legea te obligă să păstrezi o factură, nu o poți șterge la cerere.
Un incident de securitate apare când datele sunt pierdute, furate, trimise greșit sau accesate de cine nu trebuie. Un laptop pierdut, un e-mail trimis greșit, un cont spart sunt exemple. Dacă incidentul riscă să afecteze drepturile persoanelor, firma are obligația de a notifica autoritatea de protecție a datelor într-un termen scurt, stabilit prin regulament, și, în anumite cazuri, și persoanele afectate. Notează ce s-a întâmplat, ce date au fost implicate și ce ai făcut.
Măsuri simple de protecție
Majoritatea problemelor se previn cu măsuri banale: parole puternice și unice, autentificare în doi pași, actualizări la zi, copii de siguranță, acces limitat la dosare, ecrane blocate și hârtii păstrate în dulapuri încuiate. Documentele fizice se arhivează după regulile din Arhivarea documentelor firmei: ce păstrezi și cum organizezi.
Greșeli frecvente
Cele mai multe încălcări în firmele mici sunt banale. Se păstrează date mai mult decât e nevoie, se colectează câmpuri care nu servesc la nimic, se trimit liste de clienți pe e-mail către persoane nepotrivite, se montează camere fără semnalizare, se publică fotografii ale angajaților fără acord. Un alt obicei greșit este să se creadă că „un banner cu cookie-uri rezolvă tot”. Nu: regulamentul cere de fapt o abordare sistematică.
Pentru contextul general al organizării firmei, vezi și Administrarea unei firme mici: ghid complet al obligațiilor.
Întrebări frecvente
Trebuie să am responsabil cu protecția datelor?
Doar în anumite situații, de pildă dacă prelucrezi la scară mare date sensibile sau monitorizezi persoane sistematic. Majoritatea firmelor mici nu au această obligație, dar pot desemna o persoană de contact.
Am nevoie de acord pentru a trimite facturi clienților?
Nu, facturarea se face pe baza contractului și a obligațiilor legale. Consimțământul se cere pentru alte scopuri, precum marketingul prin e-mail.
Cât timp păstrez datele clienților?
Atât cât ai nevoie pentru scopul pentru care le-ai colectat și cât cere legea pentru documentele contabile. După aceea, le ștergi sau le anonimizezi.
Pot monta camere video în birou?
Da, dacă ai un scop clar, informezi persoanele prin semnalizare și respecți regulile pentru amplasare și păstrarea imaginilor. Pentru camerele care monitorizează angajații, regulile sunt mai stricte.
Ce risc dacă nu respect GDPR?
Autoritatea poate aplica avertismente sau amenzi, iar persoanele afectate pot cere despăgubiri. Cuantumul depinde de gravitatea și de contextul încălcării.
