Orice firmă care are angajați lucrează cu date personale: ale salariaților, ale clienților, ale furnizorilor. Cele mai multe scăpări nu vin din atacuri sofisticate, ci din gesturi obișnuite: un email trimis greșit, un dosar lăsat pe birou, o parolă scrisă pe un bilețel. De aceea, instruirea angajaților este una dintre cele mai ieftine și mai utile măsuri de protecție a datelor. Mai jos găsești, pe înțeles, ce cere legea și cum o faci.
Ce spune legea
Protecția datelor personale este reglementată de Regulamentul (UE) 2016/679 (GDPR), aplicat în România împreună cu Legea nr. 190/2018. Autoritatea care controlează este ANSPDCP.
- Art. 5 alin. (2) – principiul responsabilității: firma trebuie să poată dovedi că respectă regulile.
- Art. 24 și art. 32 – firma ia măsuri tehnice și organizatorice adecvate pentru a proteja datele.
- Art. 32 alin. (4) – oricine are acces la date personale le prelucrează doar după instrucțiunile firmei.
- Art. 39 – printre sarcinile responsabilului cu protecția datelor (DPO) se află și formarea personalului.
Regulamentul nu fixează o formă sau o frecvență pentru instruire. Tocmai de aceea contează să o poți dovedi: cine a fost instruit, când, din ce material și cu ce rezultat.
Ce trebuie să conțină instruirea GDPR
- Ce sunt datele personale – nume, CNP, adresă, telefon, email, imagini, dar și date medicale, care cer o grijă în plus;
- principiile prelucrării – doar datele necesare, doar pentru scopul declarat, păstrate doar cât e nevoie;
- drepturile persoanelor – acces, rectificare, ștergere, opoziție – și ce face angajatul când primește o astfel de cerere;
- securitatea zilnică – parole, blocarea calculatorului, emailuri de tip phishing, documente lăsate pe birou, stick-uri și laptopuri;
- incidentele – cum recunoști o scurgere de date și cui o raportezi imediat;
- regulile firmei – cine are acces la ce date și ce nu are voie să facă cu ele.
Când se face
Practica obișnuită este: la angajare, înainte ca omul să lucreze cu date personale; periodic, de regulă o dată pe an; și suplimentar, când se schimbă ceva important, de exemplu un program nou, o procedură nouă sau după un incident. Pentru cei care lucrează zilnic cu date sensibile, cum sunt cei de la resurse umane sau contabilitate, merită o instruire mai detaliată.
Cum dovedești instruirea la control
La un control ANSPDCP sau după un incident, întrebarea este simplă: ce măsuri ai luat? O instruire făcută „din vorbă” nu se poate dovedi. Ai nevoie de materialul de instruire, de lista celor instruiți, de data instruirii și, ideal, de un test și de semnătura fiecărui angajat. Pe lângă instruire, dosarul GDPR al firmei cuprinde de obicei registrul activităților de prelucrare, informările către angajați și acordurile cu firmele care prelucrează date în numele tău.
Sancțiunile pot ajunge, pentru încălcările grave, până la 20 de milioane de euro sau 4% din cifra de afaceri anuală mondială (art. 83). În practică, pentru firmele mici, cel mai mare cost este, de obicei, cel de imagine după o scurgere de date.
Cum te ajută EasySSM
- angajații parcurg instruirea GDPR online, de pe telefon, și dau un test la final;
- fișa de instruire se semnează electronic și ajunge singură în dosarul GDPR al firmei;
- instruirile periodice sunt planificate pe tot anul, cu reamintiri pentru cine întârzie;
- în planificare urmărești și celelalte activități GDPR: auditul anual, actualizarea registrului de prelucrări, verificarea acordurilor cu procesatorii.
Detalii despre modul GDPR găsești pe pagina Instruire GDPR pentru angajați și dosar GDPR online.
Întrebări frecvente
Este obligatorie instruirea GDPR a angajaților?
Regulamentul (UE) 2016/679 nu folosește expresia „instruire obligatorie”, dar cere operatorului să ia măsuri tehnice și organizatorice adecvate (art. 24 și art. 32) și să se asigure că persoanele care au acces la date le prelucrează doar după instrucțiunile lui (art. 32 alin. 4). Instruirea consemnată este cea mai simplă dovadă că ai luat aceste măsuri.
Cât de des se face instruirea GDPR?
Regulamentul nu stabilește o frecvență. În practică, instruirea se face la angajare, apoi periodic (de obicei anual) și ori de câte ori se schimbă modul în care firma lucrează cu datele personale.
Cine face instruirea GDPR?
Responsabilul cu protecția datelor (DPO), acolo unde a fost numit, sau persoana desemnată de firmă ori un consultant extern. Printre sarcinile DPO se numără și formarea personalului implicat în prelucrarea datelor (art. 39).
Ce faci dacă un angajat observă o scurgere de date?
O raportează imediat, după procedura internă. Firma are la dispoziție 72 de ore ca să notifice ANSPDCP, dacă incidentul prezintă un risc pentru persoanele vizate (art. 33).
Articolul are rol informativ și nu înlocuiește consultanța juridică. Pentru situația concretă a firmei tale, cere sfatul unui specialist în protecția datelor.
Solicită o prezentare EasySSM și vezi cum arată instruirea GDPR a angajaților când totul este digital.
