Autoritățile administrației publice locale gestionează un volum considerabil și divers de date cu caracter personal, prelucrate zilnic în cadrul activităților administrative, sociale, fiscale, urbanistice, educaționale, de stare civilă sau în relația cu alte instituții publice. Aceste date aparțin cetățenilor, angajaților, beneficiarilor de servicii sociale, contribuabililor, furnizorilor și partenerilor instituționali și includ, în mod frecvent, categorii speciale de date, cu un nivel ridicat de sensibilitate și risc în cazul unei prelucrări neconforme.

Complexitatea activității unei primării, multitudinea compartimentelor implicate și caracterul permanent al prelucrării datelor personale determină necesitatea implementării unui sistem coerent și funcțional de protecție a datelor. În acest context, respectarea prevederilor Regulamentului (UE) 2016/679 (GDPR) nu se limitează la o conformare formală, ci presupune adoptarea unor politici, proceduri și măsuri concrete, adaptate realităților administrației publice locale.

Conformitatea cu GDPR reprezintă o obligație legală pentru toate UAT-urile, dar și o condiție esențială pentru protejarea drepturilor persoanelor vizate, pentru prevenirea incidentelor de securitate și pentru evitarea riscurilor juridice, financiare și reputaționale asociate nerespectării legislației europene în domeniul protecției datelor.

Serviciile noastre GDPR sunt concepute pentru a sprijini primăriile și entitățile aflate în subordinea sau coordonarea acestora în realizarea unei conformități reale și aplicate cu legislația europeană și națională privind protecția datelor cu caracter personal. Abordarea noastră este una integrată, adaptată specificului administrației publice locale, structurii organizatorice și volumului de date prelucrate, astfel încât măsurile implementate să fie nu doar conforme din punct de vedere juridic, ci și funcționale în activitatea curentă a instituției.

Scopul serviciilor GDPR

Serviciile GDPR urmăresc protejarea drepturilor și libertăților fundamentale ale persoanelor fizice ale căror date sunt prelucrate de UAT, prin asigurarea unei prelucrări legale, transparente și securizate a datelor cu caracter personal, în acord cu principiile stabilite de Regulamentul (UE) 2016/679.

În același timp, aceste servicii au ca scop sprijinirea autorităților publice locale în gestionarea riscurilor asociate prelucrării datelor, prin prevenirea încălcărilor de securitate, a accesului neautorizat sau a utilizării necorespunzătoare a informațiilor personale. Prin implementarea corectă a cerințelor GDPR, UAT-urile reduc semnificativ riscul de sancțiuni, investigații sau măsuri corective din partea Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP).

Totodată, respectarea standardelor GDPR contribuie la consolidarea încrederii cetățenilor în administrația publică locală, prin creșterea transparenței, responsabilității și profesionalismului în gestionarea datelor personale. În acest sens, conformitatea GDPR devine un element esențial al bunei guvernări și al relației de încredere dintre administrație și comunitatea locală.

Legalitatea externalizării serviciilor de protecție a datelor cu caracter personal

Regulamentul (UE) 2016/679 privind protecția datelor cu caracter personal permite, în mod expres, ca funcția de Responsabil cu protecția datelor (DPO) să fie exercitată atât din interiorul organizației, cât și în regim externalizat, în baza unui contract de prestări servicii.

Astfel, articolul 37 alin. (6) din GDPR prevede că Responsabilul cu protecția datelor poate fi un membru al personalului operatorului sau poate să își îndeplinească sarcinile în baza unui contract de servicii. Această dispoziție oferă instituțiilor publice, inclusiv unităților administrativ-teritoriale, posibilitatea de a apela la expertiză externă specializată, fără a fi obligate să desemneze un DPO din cadrul aparatului propriu.

Totodată, articolul 38 alin. (6) din GDPR stabilește că Responsabilul cu protecția datelor poate îndeplini și alte sarcini și atribuții, cu condiția ca acestea să nu genereze un conflict de interese. Operatorul de date are obligația de a se asigura că activitățile desfășurate de DPO nu afectează independența acestuia și nu compromit exercitarea obiectivă a atribuțiilor specifice funcției.

În cazul externalizării, funcția de DPO poate fi exercitată de o persoană fizică sau de o organizație din afara structurii operatorului, în baza unui contract de prestări servicii. În această situație, este esențial ca fiecare persoană care îndeplinește efectiv atribuțiile de DPO să respecte toate cerințele prevăzute de Secțiunea 4 din GDPR, inclusiv cele referitoare la competență profesională, independență, confidențialitate și absența conflictelor de interese.

Pentru autoritățile administrației publice locale, externalizarea funcției de DPO reprezintă o soluție legală, eficientă și frecvent utilizată, care permite accesul la expertiză juridică și tehnică actualizată, asigurând în același timp respectarea principiilor de independență și imparțialitate impuse de legislația europeană în domeniul protecției datelor cu caracter personal.

Etapele procesului de conformare GDPR

Procesul de conformare cu prevederile Regulamentului (UE) 2016/679 este unul etapizat și presupune o abordare structurată, adaptată specificului fiecărei unități administrativ-teritoriale sau entități. Având în vedere volumul și diversitatea datelor cu caracter personal gestionate de administrația publică locală, fiecare etapă este esențială pentru construirea unui sistem funcțional de protecție a datelor.

Etapa 1 – Audit GDPR

Prima etapă a procesului de conformare este dedicată inventarierii și analizei tuturor categoriilor de date cu caracter personal colectate, stocate, prelucrate și administrate de UAT sau de entitatea vizată. Evaluarea are ca scop identificarea volumului și tipurilor de date prelucrate, a scopurilor și temeiurilor legale ale prelucrării, a destinatarilor cărora le sunt divulgate datele, precum și a departamentelor și personalului care interacționează cu aceste informații.

Această analiză permite o înțelegere completă a fluxurilor de date existente și evidențiază potențialele vulnerabilități sau neconformități în raport cu cerințele GDPR, constituind baza întregului proces de aliniere.

Rezultatul livrat: inventarul datelor cu caracter personal, materializat în registrul de evidență a activităților de prelucrare (cartografierea datelor).

Etapa 2 – Plan de măsuri GDPR

Pe baza informațiilor colectate în cadrul auditului, se analizează gradul de conformitate al entității și identifică zonele de risc asociate prelucrării datelor cu caracter personal. Prin raportarea acestora la cerințele Regulamentului (UE) 2016/679, se elaborează un plan de măsuri personalizat, care stabilește acțiunile necesare pentru atingerea conformității.

Planul de măsuri are rolul de a prioritiza intervențiile, de a optimiza utilizarea resurselor instituției și de a asigura un parcurs clar și realist pentru alinierea la normele GDPR.

Rezultatul livrat: plan de măsuri GDPR, care stă la baza procesului de implementare.

Etapa 3 – Implementare GDPR

În etapa de implementare, se asigură punerea în aplicare a măsurilor stabilite prin planul de acțiuni, prin elaborarea și adaptarea documentației specifice cerute de Regulamentul (UE) 2016/679. Aceasta include redactarea regulamentului intern privind protecția datelor, politici și proceduri operaționale, acorduri de confidențialitate, informări pentru persoanele vizate, politici necesare pentru site-ul instituției, precum și instrucțiuni clare pentru Responsabilul cu protecția datelor (DPO). Totodată, sunt necesare dispunerea unor măsuri tehnice privind securitatea datelor, în concordanță cu riscurile identificate.

Rezultatele livrate: documentație GDPR completă, soluții organizatorice personalizate și recomandări tehnice pentru protecția datelor.

Fundamentul legal

Protecția datelor cu caracter personal în cadrul autorităților administrației publice locale este reglementată de un cadru legal european și național obligatoriu, care impune instituțiilor publice adoptarea unor măsuri adecvate pentru asigurarea unei prelucrări legale, transparente și securizate a datelor personale.

Actul normativ principal este Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date (GDPR), aplicabil direct tuturor statelor membre ale Uniunii Europene, inclusiv României. Regulamentul stabilește principiile fundamentale ale prelucrării datelor, drepturile persoanelor vizate și obligațiile operatorilor și persoanelor împuternicite de operator.

La nivel național, aplicarea GDPR este completată de Legea nr. 190/2018 privind măsuri de punere în aplicare a Regulamentului (UE) 2016/679, care stabilește reguli specifice pentru autoritățile și instituțiile publice, inclusiv în ceea ce privește prelucrarea datelor în contextul exercitării atribuțiilor de autoritate publică.

De asemenea, sunt incidente dispozițiile Legii nr. 363/2018, care reglementează prelucrarea datelor de către autoritățile competente în scopul prevenirii, descoperirii, cercetării și urmăririi penale a infracțiunilor, acolo unde activitatea instituției implică astfel de operațiuni.

În completarea acestui cadru, autoritățile publice locale au obligația de a desemna un Responsabil cu protecția datelor (DPO), în condițiile prevăzute de articolele 37–39 din GDPR, precum și de a adopta politici, proceduri și măsuri tehnice și organizatorice adecvate pentru protecția datelor cu caracter personal.

Nerespectarea acestor prevederi poate atrage sancțiuni contravenționale, măsuri corective din partea Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) și riscuri reputaționale semnificative pentru autoritatea publică locală.

Ce oferim prin serviciul nostru

Oferim servicii complete de conformare cu cerințele Regulamentului (UE) 2016/679, concepute special pentru unitățile administrativ-teritoriale și entitățile aflate în subordinea sau coordonarea acestora, în contextul volumului ridicat și al diversității datelor cu caracter personal gestionate de administrația publică locală.

Sprijinul nostru acoperă integral procesul de conformare GDPR, începând cu evaluarea situației existente la nivel instituțional și continuând cu implementarea măsurilor necesare pentru asigurarea unui sistem funcțional și coerent de protecție a datelor. Abordarea este una aplicată și adaptată realității fiecărei instituții, astfel încât cerințele legale să fie transpuse eficient în activitatea curentă a UAT-ului.

În cadrul serviciilor oferite, realizăm evaluarea gradului de conformitate GDPR și identificăm fluxurile de date cu caracter personal prelucrate de instituție, procedăm la cartografierea acestora și la întocmirea registrului activităților de prelucrare, conform cerințelor Regulamentului (UE) 2016/679. Pe baza acestei analize, identificăm riscurile asociate prelucrării datelor și elaborăm un plan de măsuri realist și aplicabil, corelat cu structura organizatorică și resursele disponibile.

Asigurăm elaborarea și, după caz, actualizarea documentației GDPR obligatorii, inclusiv politici, proceduri și instrumente interne adaptate specificului activității instituției. Totodată, oferim sprijin pentru implementarea procedurilor privind protecția datelor, securitatea informațiilor și exercitarea drepturilor persoanelor vizate, astfel încât acestea să fie cunoscute și aplicate de personalul instituției.

Serviciul include și asistență în desemnarea și funcționarea Responsabilului cu protecția datelor (DPO), inclusiv în regim externalizat, precum și suport în gestionarea incidentelor de securitate și în relația cu Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), atunci când situația o impune.

Prin această abordare, conformarea GDPR depășește nivelul unei obligații formale și devine un mecanism funcțional, integrat în activitatea curentă a administrației publice locale, contribuind la reducerea riscurilor legale și la consolidarea încrederii cetățenilor în instituție.

Beneficii-cheie ale serviciului GDPR

• Conformitate legală reală, nu doar formală
  Asigurăm alinierea instituției la cerințele Regulamentului (UE) 2016/679 și ale legislației naționale aplicabile, prin măsuri adaptate activității concrete a UAT-ului.

• Reducerea riscurilor de sancțiuni și controale
  Implementarea corectă a cerințelor GDPR diminuează semnificativ riscul de amenzi, investigații sau măsuri corective din partea ANSPDCP.

• Gestionarea eficientă a volumului mare de date personale
  Structurăm și clarificăm fluxurile de date din cadrul instituției, facilitând controlul asupra modului de colectare, utilizare și stocare a datelor cu caracter personal.

• Economie de timp și resurse interne
  Preluăm activitățile complexe de analiză, documentare și implementare, fără a încărca suplimentar personalul din aparatul propriu al primăriei.

• Documentație GDPR completă și adaptată instituției
  Politicile și procedurile sunt personalizate în funcție de structura organizatorică, atribuțiile legale și specificul serviciilor furnizate de UAT.

• Sprijin specializat pentru DPO
  Oferim asistență continuă pentru funcționarea corectă a responsabilului cu protecția datelor, cu respectarea cerințelor de independență și evitare a conflictelor de interese.

• Creșterea securității și prevenirea incidentelor de date
  Identificăm vulnerabilitățile și formulăm recomandări organizatorice și tehnice pentru protejarea informațiilor personale.

• Consolidarea încrederii cetățenilor în administrația publică locală
  O gestionare responsabilă și transparentă a datelor personale contribuie la creșterea credibilității și a imaginii instituției.

• Bază solidă pentru audituri și verificări ulterioare
  Documentația și procedurile implementate pot fi utilizate în controale, audituri interne sau evaluări externe, fără riscul de neconformitate.