GDPR pentru independenți: date, obligații și protecție

GDPR nu înseamnă doar o politică de confidențialitate pe site. Protecția trebuie să funcționeze zilnic: ce date se colectează, în ce scop și temei, cine are acces, cât se păstrează, ce furnizori le prelucrează și cum sunt gestionate drepturile, ștergerea, accesul și incidentele? Motorica poate structura procesele. Evaluarea juridică și măsurile concrete trebuie, la nevoie, stabilite cu un specialist calificat.

Regulamentul general privind protecția datelor este o normă UE pentru date personale și se aplică atunci când firme, independenți sau organizații le prelucrează. Sunt personale informațiile despre o persoană fizică identificată sau identificabilă: nume, adresă, e-mail, telefon, număr client, IP, plăți, locație ori date din facturi și documente.

GDPR protejează datele personale ale persoanelor fizice
Sunt vizați clienți, potențiali clienți, angajați, candidați și contacte
Pot fi vizate și firme mici sau persoane care lucrează singure
Prelucrarea include colectare, stocare, utilizare, transmitere, ștergere și arhivare
Protecția datelor trebuie aplicată zilnic, în software și procese
O politică de confidențialitate nu este suficientă

Ce date sunt personale?

Sunt personale informațiile care identifică direct sau indirect o persoană. Ele apar constant în oferte, facturi, dosare, planificări, e-mailuri, reconcilierea plăților, arhivare și formulare de contact. Datele profesionale de contact pot fi personale dacă sunt asociate unei persoane concrete.

Nume, adresă și contacte
E-mail și telefon
Număr client și date contractuale
Date de facturare și plată
Adrese IP și identificatori online
Date despre angajați și candidați
Date de locație și intervenție
Notițe despre clienți, contacte sau operațiuni
Documente cu informații personale

Datele nu pot fi colectate arbitrar sau păstrate nelimitat. Ele trebuie prelucrate legal, echitabil, transparent, pentru scopuri stabilite, corect, protejat și numai cât este necesar ori impus de lege. Independenții trebuie să colecteze strictul necesar, să nu schimbe nejustificat scopul și să limiteze accesul.

Legalitate: fiecare prelucrare necesită un temei
Transparență: persoanele trebuie informate clar
Limitarea scopului: folosirea numai pentru scopuri stabilite
Minimizare: colectarea numai a datelor necesare
Exactitate: date actuale și corecte
Limitarea stocării: fără păstrare inutilă
Integritate și confidențialitate: protecție tehnică și organizatorică
Responsabilitate: decizii documentate trasabil

Temeiuri juridice: când pot prelucra date?

Este necesar un temei adecvat. Pentru firme mici contează executarea contractului, măsuri precontractuale, obligații legale, interese legitime și consimțământ. Temeiul trebuie să corespundă scopului real și să fie documentat, nu ghicit ulterior.

Executarea contractului pentru ofertă, comandă, factură și serviciu
Măsuri precontractuale pentru solicitări sau pregătirea ofertei
Obligație legală, precum păstrarea fiscală a facturilor
Interes legitim pentru anumite procese administrative interne
Consimțământ pentru newsletter voluntar sau anumite acțiuni de marketing
Interesele vitale și sarcinile publice sunt mai rare în activitatea obișnuită
Alegeți mereu temeiul potrivit scopului

Politica de confidențialitate: ce trebuie explicat?

Trebuie să informeze ce date sunt prelucrate, în ce scop, temei, de cine, cât timp și cu ce drepturi. Pe site poate privi formulare, loguri, cookie-uri, analiză, conținut integrat, newslettere, programări sau plăți. Textul trebuie să corespundă site-ului și serviciilor reale.

Numele și contactele operatorului
Scopurile prelucrării
Temeiurile juridice
Categoriile de date
Destinatari sau categorii
Durata ori criteriile de păstrare
Drepturile persoanelor
Dreptul de plângere la autoritatea de supraveghere
Cookie-uri, tracking și servicii externe
Transferuri în țări terțe, dacă sunt relevante

Acord de prelucrare: clasificare corectă

Există prelucrare în numele operatorului când un furnizor tratează date după instrucțiuni. Exemple: hosting, cloud, newsletter, suport, IT extern și anumite programe contabile. De regulă este necesar un acord care reglementează obiectul, durata, natura, scopul, categoriile, persoanele, instrucțiunile, subcontractanții și măsurile tehnice și organizatorice.

Verificați furnizorii care prelucrează date
Încheiați acorduri cu persoanele împuternicite
Documentați subcontractanții
Verificați măsurile tehnice și organizatorice
Reglementați instrucțiunile și accesul suportului
Prevedeți ștergerea sau returnarea la final
Nu confundați acordul cu termenii generali
Analizați diferit operatorii și operatorii asociați

Măsuri tehnice și organizatorice

Măsurile protejează adecvat datele și includ nu doar criptare, ci și acces, parole, copii, jurnalizare, roluri, dispozitive, instruire, ștergere și urgențe. Ele trebuie adaptate riscului. O firmă de curățenie și un furnizor medical au nevoi diferite, dar ambele protejează date personale.

Folosiți parole puternice și autentificare în doi pași
Acordați acces după rol
Permiteți accesul numai persoanelor necesare
Configurați și testați copii regulate
Actualizați dispozitive, browsere și software
Criptați transmiterea
Documentați și limitați accesul suportului
Păstrați sau distrugeți sigur hârtia
Definiți ștergerea și blocarea
Instruiți angajații

Registrul activităților de prelucrare

Registrul este o evidență internă, nu marketing. El arată procesele, scopurile, temeiurile, persoanele și categoriile vizate, destinatarii, durata și măsurile de protecție.

Gestionarea clienților
Oferte și facturi
Arhivarea documentelor
Reconcilierea plăților
Gestionarea angajaților
Candidaturi
Formular și site
Newsletter sau marketing
Suport și comunicare
Consultanță fiscală și contabilitate

Drepturile persoanelor: acces, ștergere și opoziție

Persoanele au drepturi de acces, rectificare, ștergere, restricționare, portabilitate și opoziție. Firma are nevoie de un proces pentru identitate, termen, date, excepții și răspuns.

Acces la datele prelucrate
Rectificarea datelor greșite
Ștergere când nu există obligație sau temei de păstrare
Restricționarea prelucrării
Portabilitate în cazurile potrivite
Opoziție la anumite prelucrări
Retragerea consimțământului pentru viitor
Plângere la autoritatea de supraveghere
Documentați răspunsurile și termenele

Ștergere și păstrare: nu se elimină imediat orice

Unele date se șterg când scopul dispare și nu mai există temei; altele se păstrează din obligații fiscale, comerciale sau contractuale. Este necesar un concept care separă utilizarea activă, blocarea, arhivarea și ștergerea definitivă.

Verificați scopul stocării
Respectați termenele legale
Nu ștergeți prematur facturi și documente contabile
Nu păstrați nelimitat datele candidaților
Tratați corect datele newsletterului după retragere
Revizuiți conturile după încetarea contractului
Protejați arhiva de acces neautorizat
Documentați ștergerea și blocarea
Planificați ștergeri periodice

Încălcarea securității datelor: ce contează

O încălcare poate însemna pierdere, divulgare accidentală, acces neautorizat, modificare sau ștergere. Exemple: e-mail greșit, dispozitiv pierdut, folder cloud deschis, cont compromis. Când notificarea este obligatorie, autoritatea trebuie informată fără întârziere și, dacă este posibil, în 72 de ore.

Documentați imediat incidentul
Evaluați datele și persoanele afectate
Evaluați riscul
Securizați accesul și opriți cauza
Implicați furnizorii
Verificați notificarea autorității
Verificați informarea persoanelor
Documentați măsurile și deciziile
Remediați definitiv vulnerabilitatea

Responsabilul cu protecția datelor: când este relevant?

Nu fiecare firmă mică are nevoie automat de un responsabil. În Germania, pentru organisme nepublice, un prag relevant este de regulă minimum 20 de persoane care lucrează permanent la prelucrarea automatizată. Pot exista și alte motive, precum prelucrări cu risc. Cereți evaluare profesională dacă nu sunteți sigur.

Verificați numărul persoanelor implicate permanent
Evaluați natura și riscul
Analizați atent categoriile speciale
Evaluarea impactului poate genera obligații
Un responsabil extern poate fi practic
Nu confundați numirea cu organizarea generală
Firma rămâne responsabilă și fără responsabil desemnat

Protecția trebuie să funcționeze practic. Documentele juridice ajută puțin dacă datele sunt în conversații private, foldere dezordonate sau foi vechi. Colectați doar la nevoie, limitați accesul, arhivați organizat, documentați furnizorii, respectați termenele și nu distribuiți inutil date sensibile.

Nu organizați datele în mesagerie privată
Arhivați central facturi și documente
Limitați accesul
Tratați separat și confidențial datele angajaților
Verificați exporturile vechi
Nu retrimiteți inutil documente prin e-mail
Verificați furnizorii cloud și software
Aplicați zilnic regulile de ștergere și arhivare

Problemele apar adesea din lipsă de structură. Folosirea simultană a mai multor instrumente, mesagerii, e-mailuri, fișiere locale și cloud face neclar locul datelor, accesul și ștergerea. Un proces bun ajută mai mult decât un model descărcat o dată.

Lipsa unei politici potrivite pe site
Formulare fără informații clare
Acorduri uitate cu furnizorii
Date pe dispozitive private sau în conversații
Prea multe persoane cu acces
Fără termene de ștergere
Copii și exporturi păstrate necontrolat
Solicitări nedocumentate
Incidente neraportate intern
Protecția tratată doar ca subiect web

Motorica nu înlocuiește consultanța și nu garantează conformitatea într-un caz concret. Poate însă structura datele personale. Datele clienților, facturile, documentele, sarcinile și plățile se reunesc, făcând procesele și accesul mai clare și actele mai ușor de găsit pentru consultant, control sau verificare internă.

Gestionați mai centralizat datele clienților
Arhivați ordonat facturile și documentele
Includeți modele de acces și roluri
Organizați trasabil sarcini și termene
Clasificați mai clar documentele cu MIRA
Pregătiți structurat date pentru consultanță și administrație
Reduceți arhivarea necontrolată
Urmăriți acordurile, măsurile și conceptul de ștergere

FAQ

Întrebări frecvente despre GDPR

Se aplică GDPR și independenților?

Da. Poate fi relevant când prelucrează date de clienți, facturi, e-mailuri, formulare, plăți, angajați sau documente digitale.

Ce sunt datele personale?

Informații despre o persoană identificată sau identificabilă: nume, adresă, e-mail, telefon, număr client, IP, plăți și informații din documente.

Este suficientă o politică pentru conformitate?

Nu. Protecția trebuie să funcționeze și în procese: temeiuri, acorduri, acces, ștergere, drepturi, documentație și măsuri adecvate.

Când am nevoie de un acord de prelucrare?

De regulă atunci când un furnizor prelucrează date după instrucțiuni, precum hosting, cloud, newsletter, IT, suport sau software de birou.

Ce sunt măsurile tehnice și organizatorice?

Protecții precum controlul accesului, parole, autentificare în doi pași, criptare, copii, roluri, jurnalizare, instruire și ștergere sigură.

Trebuie să țin un registru al activităților?

Multe firme trebuie să documenteze datele, scopul, temeiul, destinatarii și măsurile.

Când am nevoie de un responsabil?

În Germania, între alte situații, când de regulă minimum 20 de persoane lucrează permanent la prelucrare automatizată. Pot exista și motive legate de risc.

Ce fac la o încălcare?

Documentați imediat, evaluați riscul, opriți cauza și verificați notificarea autorității sau persoanelor. Pentru cazurile notificabile termenul este, dacă este posibil, 72 de ore.

Pot păstra nelimitat datele clienților?

Nu. Numai cât cere scopul sau obligația legală; este necesar un concept de ștergere și păstrare.

Ajută Motorica la munca orientată GDPR?

Da, poate structura date, facturi, documente, sarcini și termene. Nu înlocuiește consultanța și nu garantează conformitatea într-un caz concret.

Este MIRA consultanță de protecție a datelor?

Nu. MIRA explică documente și evidențiază indicații organizatorice. Evaluarea juridică și consultanța obligatorie aparțin specialiștilor.

GDPR pentru independenți: date, temeiuri și obligații

Ce este GDPR?