Acest glosar explică zece termeni juridici esențiali din GDPR: principiile de bază, drepturile persoanelor vizate, acordurile de prelucrare, incidentele de securitate, transferurile internaționale, rolul DPO-ului, sancțiunile administrative, evaluarea de impact, registrul de evidență și obligațiile operatorilor. Fiecare definiție este legată la articolele relevante și la ghidurile de aplicare din legislația românească și europeană.
Glosar de termeni juridici GDPR și protecția datelor
Principiile GDPR
Cele șapte principii fundamentale din Articolul 5 al GDPR — legalitate, echitate și transparență; limitarea scopului; minimizarea datelor; exactitate; limitarea stocării; integritate și confidențialitate; responsabilitate — guvernează orice prelucrare de date cu caracter personal și se aplică direct în România din 25 mai 2018. Respectarea acestor principii este condiția fundamentală a conformității GDPR pentru orice organizație.
Drepturile persoanelor vizate
GDPR acordă persoanelor fizice opt drepturi fundamentale asupra datelor lor personale: dreptul de a fi informat, de acces, de rectificare, de ștergere (dreptul de a fi uitat), de restricționare a prelucrării, la portabilitatea datelor, de opoziție și dreptul de a nu face obiectul unei decizii bazate exclusiv pe prelucrarea automată. Companiile și instituțiile trebuie să răspundă cererilor privind aceste drepturi în termen de maximum o lună.
Acordul de Prelucrare a Datelor (DPA)
Acordul de Prelucrare a Datelor (DPA — Data Processing Agreement) este contractul obligatoriu dintre un operator de date și o persoană împuternicită care prelucrează date cu caracter personal în numele operatorului. Este impus de Articolul 28 din GDPR și lipsa lui poate atrage amenzi de până la 10 milioane EUR sau 2% din cifra de afaceri anuală globală. DPA-ul trebuie să conțină prevederi specifice privind securitatea, obligații de confidențialitate și dreptul de audit al operatorului.
Incidente de securitate și notificarea încălcărilor (data breach) — definiție completă
O încălcare a securității datelor cu caracter personal (data breach) este orice incident care provoacă distrugerea, pierderea, modificarea, divulgarea neautorizată sau accesul neautorizat la date personale. GDPR impune operatorilor obligația de a notifica ANSPDCP în termen de 72 de ore de la conștientizarea incidentului, dacă încălcarea prezintă un risc pentru drepturile persoanelor vizate. Nereportarea la timp poate atrage amenzi de până la 10 milioane EUR sau 2% din cifra de afaceri globală anuală.
Transferuri internaționale de date personale — definiție completă
Transferul de date personale în afara Uniunii Europene este strict reglementat de GDPR. Companiile pot transfera date doar către țări cu nivel adecvat de protecție (decis de Comisia Europeană) sau prin folosirea unor garanții adecvate, cum ar fi clauzele contractuale standard (SCC), reguli corporatiste obligatorii (BCR) sau Cadrul de confidențialitate al datelor UE-SUA. Încălcarea acestor reguli poate atrage amenzi de până la 4% din cifra de afaceri globală.
Responsabilul cu protecția datelor (DPO) — definiție completă
Responsabilul cu protecția datelor (DPO — Data Protection Officer) este persoana care supraveghează, în mod independent, conformitatea unei organizații cu regulile de protecție a datelor. Desemnarea lui este obligatorie pentru autoritățile și organismele publice, organizațiile a căror activitate principală presupune monitorizarea pe scară largă a persoanelor și cele care prelucrează pe scară largă categorii speciale de date sau date penale. În România, DPO trebuie declarat la ANSPDCP, iar datele lui de contact trebuie făcute publice.
Sancțiuni GDPR — amenzi și măsuri corective
Încălcarea GDPR poate atrage amenzi administrative de până la 20.000.000 EUR sau 4% din cifra de afaceri mondială anuală (cea mai mare valoare), dar amenda este doar una dintre măsurile corective pe care ANSPDCP le poate dispune — alături de avertismente, mustrări, ordine de conformare ori interdicția de a prelucra date. În România, autoritățile și organismele publice beneficiază de un regim special: mai întâi un avertisment și un plan de remediere, iar amenda se aplică doar dacă măsurile nu sunt îndeplinite în termen.
Evaluarea de Impact asupra Protecției Datelor (DPIA)
Evaluarea de impact asupra protecției datelor (DPIA — Data Protection Impact Assessment) este un proces obligatoriu, conform Articolului 35 din GDPR, prin care operatorul analizează, înainte de a începe prelucrarea, riscurile pe care aceasta le poate genera pentru drepturile și libertățile persoanelor și stabilește măsuri de reducere a lor. Este obligatorie ori de câte ori o prelucrare este susceptibilă să genereze un risc ridicat — în special prin profilare pe scară largă, monitorizare video a spațiilor publice, date sensibile sau tehnologii noi.
Registrul de evidență a prelucrărilor (ROPA) — definiție completă
Registrul de evidență a activităților de prelucrare (art. 30 GDPR) este documentul intern în care operatorul sau persoana împuternicită descrie, pentru fiecare prelucrare de date personale, ce date colectează, în ce scop, de la cine le preiau, cui le transmit și cât timp le păstrează. Nu este un formular de depus la autoritate, ci o evidență proprie ținută în scris (inclusiv electronic). Deși Articolul 30(5) pare să scutească organizațiile cu mai puțin de 250 de angajați, cele trei excepții ale derogării (prelucrare cu risc, neocazională sau de date sensibile) fac ca, în practică, aproape orice firmă activă să fie obligată să o țină.
Întrebări frecvente
1. Ce este GDPR și de ce impune un glosar de termeni? GDPR (Regulamentul General privind Protecția Datelor) este cadrul juridic european aplicabil din 25 mai 2018; o înțelegere corectă a vocabularului lui — principii, drepturi, obligații ale operatorilor — este esențială pentru conformitate și pentru exercitarea drepturilor persoanelor vizate.
2. Care sunt principiile fundamentale pe care se bazează GDPR? Principiile GDPR din Art. 5 sunt șapte: legalitate, echitate și transparență; limitarea scopului; minimizarea datelor; exactitate; limitarea stocării; integritate și confidențialitate; responsabilitate. Acestea guvernează orice prelucrare de date personale și sunt obligatorii pentru toți operatorii, indiferent de țară sau industrie.
3. Ce drepturi are persoana vizată conform GDPR? GDPR acordă persoanelor vizate opt drepturi fundamentale: dreptul de a fi informat, de acces, de rectificare, de ștergere (dreptul de a fi uitat), de restricționare a prelucrării, la portabilitatea datelor, de opoziție și dreptul de a nu face obiectul unei decizii bazate exclusiv pe prelucrarea automată. Operatorii trebuie să răspundă cererilor în maximum 30 de zile.
4. Trebuie să am obligatoriu un Acord de Prelucrare a Datelor (DPA) cu furnizorul meu de servicii? Da, dacă furnizorul are acces la date personale în numele dvs., este obligatoriu un DPA conform Art. 28 GDPR. DPA-ul trebuie să conțină prevederi asupra securității, secretului, ștergerii datelor și dreptului de audit. Lipsa DPA-ului poate atrage amenzi de până la 10 milioane EUR sau 2% din cifra de afaceri.
5. Cum se diferențiază o încălcare de securitate (data breach) de o simplă accesare neautorizată? O încălcare de securitate (data breach) după Art. 4(12) GDPR este orice incident care provoacă distrugerea, pierderea, modificarea, divulgarea neautorizată sau accesul neautorizat la date personale. Trebuie notificată ANSPDCP în 72 de ore dacă prezintă risc pentru drepturile persoanelor vizate; accesarea izolată fără transfer nu este neapărat raportabilă dacă nu prezintă risc.
6. Pot transfera date personale ale clienților către un furnizor din SUA? Transferul de date personale în afara UE este permis doar către țări cu decizie de adecvare sau prin mecanisme precum clauzele contractuale standard (SCC) și evaluarea impactului transferului (TIA). Pentru SUA, aplicați UE-US Data Privacy Framework sau SCC, dacă furnizorul este aderent/semnatăr; altfel, transferul este ilegal.
7. Cine este obligat să numească un DPO (Responsabil cu Protecția Datelor)? Obligația DPO apare în trei cazuri: autoritățile și organismele publice, organizațiile a căror activitate principală presupune monitorizarea pe scară largă a persoanelor și cele care prelucrează pe scară largă categorii speciale de date sau date penale. Multe IMM-uri nu sunt obligate; DPO-ul poate fi intern sau extern și trebuie declarat la ANSPDCP.
8. Care sunt amenzile pentru încălcarea GDPR și cum se contestă? Amenzile pot fi până la 20 milioane EUR sau 4% din cifra de afaceri mondială anuală (încălcări grave) sau până la 10 milioane EUR sau 2% (încălcări tehnice). Procesul-verbal ANSPDCP se contestă la secția de contencios administrativ a tribunalului în 15 zile; amenda nu este suspendată automat de contestație.
9. Ce este DPIA și când este obligatorie? DPIA (Evaluarea de Impact asupra Protecției Datelor) este evaluarea obligatorie a riscurilor unei prelucrări, conform Art. 35 GDPR, efectuată înainte de prelucrările cu risc ridicat — în special monitorizare pe scară largă, profilare automată, date sensibile sau tehnologii noi. Neefectuarea unei DPIA obligatorii atrage amenzi de până la 10 milioane EUR sau 2%.
10. Orice firmă trebuie să țină un Registru de Evidență a Prelucrărilor? Art. 30 GDPR impune registrul pentru orice operator, chiar și sub 250 de angajați, cu trei excepții: prelucrare ocazională, fără risc și care nu implică date sensibile. În practică, aproape orice activitate activă devine obligatorie — medicul, avocatul, PFA-ul cu clienți recurenți trebuie să țineți registrul, indiferent de numărul de salariați.