Cuprins 7 secțiuni
Responsabilul cu protecția datelor, cunoscut și ca DPO (de la „data protection officer"), este persoana pe care o firmă sau o instituție o desemnează ca să urmărească respectarea Regulamentului general privind protecția datelor (GDPR). Pentru tine, DPO-ul este adesea cea mai bună adresă la care poți trimite o cerere, pentru că știe regulile și are obligația să te îndrume, nu doar să te ignore.
Mulți oameni nu știu că funcția există sau cred că este ceva intern, fără nicio legătură cu clienții. În realitate, datele de contact ale DPO-ului trebuie să fie publice, iar rolul lui este și acela de a face legătura cu persoanele vizate. Mai jos vezi cine are un DPO, ce poate face pentru tine și cum îți formulezi mesajul.
Ce face un responsabil cu protecția datelor
DPO-ul informează și consiliază operatorul în privința obligațiilor GDPR, monitorizează respectarea regulilor și cooperează cu autoritatea de supraveghere. În același timp, este punctul de contact pentru persoanele ale căror date sunt prelucrate.
În practică, atribuțiile lui includ:
- explicarea regulilor către conducerea firmei și către angajați;
- verificarea modului în care sunt prelucrate datele în diferite departamente;
- consultanță la evaluările de impact, atunci când o prelucrare prezintă riscuri ridicate;
- colaborarea cu ANSPDCP în caz de control sau de plângere;
- primirea cererilor persoanelor vizate și ajutorul dat firmei să le soluționeze.
Un lucru important: DPO-ul trebuie să acționeze independent. Nu primește instrucțiuni cu privire la modul în care își îndeplinește sarcinile și nu poate fi sancționat pentru că și-a făcut treaba corect. Cu toate acestea, el nu preia responsabilitatea legală a firmei; răspunderea rămâne la operator.
Care firme sunt obligate să aibă un DPO
Un DPO este obligatoriu pentru autoritățile și organismele publice, pentru firmele care monitorizează sistematic și pe scară largă persoane și pentru cele care prelucrează pe scară largă categorii speciale de date, cum sunt datele de sănătate. Restul operatorilor îl pot numi voluntar.
| Tip de operator | DPO obligatoriu? |
|---|---|
| Instituții și autorități publice | Da |
| Firme care urmăresc sistematic și pe scară largă comportamentul persoanelor | Da |
| Firme care prelucrează pe scară largă date sensibile (de sănătate, biometrice) | Da |
| Magazine mici, cabinete individuale, firme fără monitorizare la scară largă | De regulă nu |
| Orice firmă care îl numește voluntar | Opțional, dar are aceleași reguli |
Faptul că o firmă nu are DPO nu înseamnă că nu are obligații. Chiar și fără o asemenea funcție, trebuie să existe o persoană sau o adresă de contact prin care poți exercita drepturile GDPR.
Unde găsești datele de contact ale DPO-ului
Datele de contact ale DPO-ului trebuie comunicate persoanelor vizate, de regulă prin politica de confidențialitate. Acolo ar trebui să găsești o adresă de e-mail sau o adresă poștală dedicată, uneori și numele persoanei.
Locuri unde poți căuta:
- Politica de confidențialitate de pe site, în secțiunea despre contact sau drepturi.
- Subsolul site-ului sau pagina de „Date personale / GDPR".
- Contractul sau formularul semnat de tine, unde firma enumeră datele sale de contact.
- Registrele oficiale sau pagina instituției, în cazul autorităților publice.
Dacă nu găsești nicio informație, scrie la adresa generală de contact și întreabă cine este responsabilul cu protecția datelor. Un operator care nu poate indica o adresă pentru GDPR își pune singur probleme. Pentru ghidare în citirea documentului, vezi articolul despre politica de confidențialitate.
Când are sens să scrii DPO-ului
Are sens să scrii DPO-ului de fiecare dată când vrei să-ți exerciți un drept GDPR sau când ai observat o prelucrare care ți se pare nelegală. Este canalul prevăzut tocmai pentru asemenea mesaje și, de multe ori, cel mai rapid.
Situații tipice:
- vrei să afli ce date are firma despre tine, caz în care aplici procedura din articolul despre dreptul de acces la date;
- ai primit mesaje de marketing după ce te-ai opus, iar firma continuă; vezi și apelurile și mesajele de marketing nedorite;
- ai găsit date greșite sau învechite în evidențele firmei;
- ai aflat că datele tale au fost expuse într-un incident;
- ai o nelămurire despre scopul pentru care ți se cer anumite date, de exemplu CNP-ul.
În multe cazuri, DPO-ul rezolvă lucrurile intern și scutește părțile de o dispută lungă. Dacă firma nu are DPO, adresezi cererea direct operatorului, la adresa indicată în politică.
Cum scrii un mesaj eficient către DPO
Mesajul eficient este scurt, concret și ușor de verificat. Evită tonul acuzator și spune clar ce vrei: informații, corectare, ștergere, oprirea unui tip de prelucrare.
Un schelet util:
- Cine ești: numele și datele cu care te găsește firma (e-mail, număr de client).
- Ce s-a întâmplat: descrierea scurtă a situației, cu date și exemple.
- Ce ceri: dreptul invocat, de exemplu acces, rectificare sau ștergere.
- Termenul: menționează că aștepți răspuns în maximum o lună.
- Anexe: capturi de ecran, mesaje primite, orice dovadă relevantă.
Sfat: trimite mesajul de pe adresa de e-mail pe care firma o are deja în evidență și păstrează dovada trimiterii. Dacă ai de adăugat probe, vezi cum le organizezi în articolul despre dovezile pentru o reclamație.
Ce faci dacă DPO-ul nu răspunde
Dacă DPO-ul sau firma nu răspund în termen de o lună, poți trimite o a doua cerere, cu trimitere la prima, și apoi poți depune o plângere la autoritatea de supraveghere. Răspunsul formal este un drept, nu o favoare.
Autoritatea națională, ANSPDCP, analizează plângerea și poate dispune măsuri. Procedura este explicată pas cu pas în articolul despre plângerea la ANSPDCP. În paralel, dacă problema implică și o relație comercială, poți scrie o reclamație separată, de exemplu după modelul din reclamația către comerciant.
Pentru o privire de ansamblu asupra drepturilor pe care le poți invoca, consultă ghidul despre protecția datelor personale.
Pe aceeași temă, citește și Portabilitatea datelor: cum îți muți datele la altă firmă.
Întrebări frecvente
DPO-ul și operatorul sunt aceeași persoană?
Nu. Operatorul este firma sau instituția care decide cum se folosesc datele; DPO-ul este persoana desemnată să supravegheze respectarea regulilor și să facă legătura cu persoanele vizate.
Pot trimite cereri GDPR doar la DPO?
Poți trimite cererea oricărui punct de contact al operatorului. DPO-ul este canalul recomandat, dar cererea este valabilă și dacă ajunge la altă adresă a firmei.
Pot afla numele DPO-ului?
Operatorul trebuie să facă publice datele de contact ale DPO-ului; numele nu este întotdeauna obligatoriu, dar adresa de contact da.
Un DPO poate refuza o cerere?
Doar operatorul decide formal asupra cererii, iar un refuz trebuie motivat. Poți contesta refuzul la ANSPDCP sau în instanță.
Costă ceva să scriu unui DPO?
Nu, în principiu. Cererile obișnuite sunt gratuite, iar o taxă rezonabilă poate fi cerută doar pentru solicitări vădit excesive.
