Urmarire GPS pe autoturismele agentilor si livratorilor

Situatie: Firma are montate GPS pe autoturismele agentilor si livratorilor. Nu se lucreaza cu persoane fizice, ci doar cu societati comerciale. Pe langa informarea si consimtamantul angajatilor pentru GPS, suntem obligati si sa ne inregistram la ANSPDCP? Puteti sa ne ajutati cu mai multe informatii ce ar trebui sa apara in procedura pentru a fi in legalitate?

Rezolvare: Regulamentul nr. 679/2016 aduce cetateanului european noi drepturi care au rolul sa protejeze viata privata a acestuia. Aceste noi norme se aplica in toate statele membre UE si chiar in afara UE cand entitatea care opereaza date comercializeaza bunuri sau presteaza servicii pe teritoriul comunitar.

Astfel Regulamentul contine prevederi care au caracter de noutate in domeniul protectiei datelor cu caracter personal. Individul ale carui date sunt procesate are dreptul sa solicite operatorului stergerea datelor cu caracter personal in una dintre urmatoarele situatii:
- Datele nu mai fac obiectul prelucrarii initiale. De exemplu, la expirarea unui contract, bancar, servicii, cumparare de produse, persoana poate solicita ca datele sale personale sa fie radiate.
- Cand nu exista niciun motiv pentru colectarea si prelucrarea datelor. Altfel spus, datele sunt solicitate fara sa existe un scop special pentru care ele sa fie necesare si fara de care sa nu existe o relatie intre companie si individ, cum ar fi cazul unui contract.
- Datele au fost prelucrate in mod ilegal
- Operatorul se afla sub incidenta unor reglementari legale locale sau europene
- Operatorul (compania) care prelucreaza datele trebuie sa se conformeze fara intarziere . In cazul in care operatorul a facut publice datele, va trebui sa ia toate masurile tehnice rezonabile si va informa si alti operatori (companii) pentru stergerea linkurilor relevante, cand este cazul.
- Persoana poate solicita portarea datelor de la un operator de date la altul (de la o companie la alta). Portabilitatea va fi asigurata la nivel de operatori (companii). Astfel, individul are mai multa flexibilitate si siguranta cu privire la cine ii administreaza datele cu caracter personal.

Fiecare persoana are dreptul sa ceara firmei care prelucreaza datele (operator) sa rectifice informatiile incorecte, sa ceara completarea acestora cand a constatat ca datele contin erori. In aceasta situatie, persoana va completa declaratii suplimentare.

Companiile sunt cele care trebuie sa asigure protectia datelor cu caracter personal ale persoanei si care trebuie sa gestioneze si prelucreze datele in siguranta. Din acest motiv, companiile sunt privite ca un one stop shop privind gestionarea acestor informatii personale.De asemenea, firmele sunt obligate sa informeze cetateanul cine sunt, ce date colecteaza si in ce scop.

Cand datele sunt culese direct de compania care colecteaza si prelucreaza datele cu caracter personal cel vizat trebuie informat de reprezentantul companiei in mod complet si corect, furnizandu-i-se urmatoarele detalii despre operator si prelucrare:

• Identitatea, datele de contact ale companiei si ale reprezentantului acesteia, cand este cazul;
• Datele de contact ale responsabilului cu protectia datelor;
• Scopul si baza legala in care datele sunt colectate si prelucrate;
• Interesele legitime ale unor terte parti in legatura cu prelucrarea (spre exemplu, operatori de plati in cazul website-urilor)
• Perioada pe care vor fi salvate datele;
• Detalii privind drepturile sale de stergere, portare, de a se opune la colectare / prelucrare sau de a solicita modificarea datelor.

Odata cu intrarea in vigoare a Regulamentului, operatorii de date cu caracter personal vor trebui sa numeasca un DPO data privacy officer (eng)- o persoana care este responsabil in numele companiei de legalitatea si conformitatea procesele de colectare si prelucrare a datelor cu caracter personal, care trebuie sa asigure transparenta relatiei intre operatorul de date (companie) si persoana vizata.

Pe site-ul AUTORITATII NATIONALE DE SUPRAVEGHERE A PRELUCRARII DATELOR CU CARACTER PERSONAL exista un Ghid orientativ de aplicare a Regulamentului privind protectia datelor, destinat operatorilor.

Potrivit acestui GHID, Regulamentul se aplica:
- Prelucrarii datelor cu caracter personal in cadrul activitatilor derulate la sediul unui operator sau al unei persoane imputernicite de operator pe teritoriul Uniunii, indiferent daca prelucrarea are loc sau nu pe teritoriul Uniunii.
- Prelucrarii datelor cu caracter personal ale unor persoane vizate care se afla in Uniune de catre un operator sau o persoana imputernicita de operator care nu este stabilit(a) in Uniune, atunci cand activitatile de prelucrare sunt legate de: oferirea de bunuri sau servicii unor astfel de persoane vizate in Uniune, indiferent daca se solicita sau nu efectuarea unei plati de catre persoana vizata; sau monitorizarea comportamentului lor daca acesta se manifesta in cadrul Uniunii.
- Prelucrarii datelor cu caracter personal de catre un operator care nu este stabilit in Uniune, ci intr-un loc in care dreptul intern se aplica in temeiul dreptului international public.

Obligatii ale operatorilor cu date personale:

- Desemnarea unui responsabil cu protectia datelor este obligatorie din 25 mai 2018, raportat la dispozitiile art. 37 - 39 din Regulamentul General privind Protectia Datelor, in cazul in care operatorul sau persoana imputernicita de operator: este o autoritate publica sau un organism public, cu exceptia instantelor in exercitarea functiei lor jurisdictionale; desfasoara o activitate principala care conduce la realizarea unei monitorizari constante si sistematice pe scara larga a persoanelor; desfasoara o activitate principala care consta in prelucrarea pe scara larga de date sensibile (cum ar fi : date privind originea rasiala sau etnica, convingerile religioase, apartenenta sindicala, date genetice, biometrice, privind starea de sanatate) sau referitoare la condamnari penale si infractiuni.

- Toti operatorii din sistemul public, persoanele imputernicite de operator, precum si operatorii din sistemul privat cu peste 250 de angajati, au obligatia cartografierii prelucrarilor de date cu caracter personal efectuate, raportat la prevederile art. 30 din Regulamentul General privind Protectia Datelor. Chiar si operatorii din sistemul privat cu mai putin de 250 de angajati au obligatia cartografierii prelucrarilor in cazurile in care prelucrarea pe care o efectueaza este susceptibila sa genereze un risc pentru drepturile si libertatile persoanelor vizate, in cazul in care prelucrarea nu este ocazionala sau prelucrarea include categorii speciale de date ori date cu caracter personal referitoare la condamnari penale si infractiuni. In acest sens: Pentru a evalua in mod eficient impactul RGPD asupra activitatii entitatii, este necesara identificarea prelucrarilor de date cu caracter personal efectuate si pastrarea evidentei activitatilor de prelucrare. Pentru a avea o evidenta completa si exacta a prelucrarilor de date cu caracter personal efectuate si pentru a raspunde noilor exigente, trebuie identificate, in prealabil, cu precizie: diferitele prelucrari de date cu caracter personal; categoriile de date cu caracter personal prelucrate; scopurile urmarite prin operatiunile de prelucrare a datelor; persoanele care prelucreaza aceste date; fluxurile de date, indicand originea si destinatia datelor, in special pentru a identifica eventualele transferuri de date in afara Uniunii Europene.

- Operatorul si persoana imputernicita de operator identifica actiunile care trebuie intreprinse pentru conformarea la cerintele impuse de RGPD. Se prioritizeaza aceste actiuni in functie de riscurile pe care le prezinta prelucrarile efectuate pentru drepturile si libertatile persoanelor vizate.

- In cazul in care au fost identificate prelucrari de date cu caracter personal susceptibile de a prezenta riscuri ridicate pentru drepturile si libertatile persoanelor fizice, operatorul va efectua o evaluare a impactului asupra protectiei datelor, in conditiile art. 35 din Regulamentul General privind Protectia Datelor.

- Pentru a asigura permanent un nivel ridicat de protectie a datelor cu caracter personal, operatorul trebuie sa elaboreze proceduri interne care sa garanteze respectarea protectiei datelor in orice moment, luand in considerare toate evenimentele care pot aparea pe parcursul efectuarii prelucrarilor de date, precum: brese de securitate; solicitari privind exercitarea drepturilor persoanelor vizate; modificarea datelor cu caracter personal colectate; schimbarea prestatorului.

In concluzie:
- aveti obligatia desemnarii unei persoane din cadrul firmei care este responsabila cu protectia datelor, indiferent de codul CAEN;
- se vor stabili proceduri de lucru in ceea ce priveste protectia datelor;
- se va intocmi un registru in care sa se motiveze scopul pentru care au fost solicitate si prelucrate datele personale ale persoanelor fizice;
- regulamentul se aplica chiar daca se vand produse catre persoane fizice intr-o anumita perioada a anului;
- datele salariatilor care se prelucreaza prin REVISAL vor fi protejate potrivit Regulamentului.
Parerea mea este ca si in situatia dumneavoastra trebuie sa va stabiliti propriile proceduri de aplicare a Regulamentului.