Începe cu prelucrarea și cu rolul companiei
Pentru fiecare activitate, identifică scopul, categoriile de persoane și date, destinatarii, durata păstrării și rolul companiei. Operatorul stabilește scopurile și mijloacele prelucrării; persoana împuternicită prelucrează date în numele operatorului. Rolul se analizează pentru activitatea concretă, nu doar după denumirea contractului.
Măsurile de securitate se aleg în funcție de risc
Articolul 32 cere un nivel de securitate adecvat riscului și ia în calcul contextul, scopurile, stadiul tehnologiei și costurile implementării. Criptarea și pseudonimizarea sunt exemple de măsuri prevăzute, după caz. Nu rezultă că aceeași configurație tehnică este suficientă sau obligatorie pentru orice firmă.
- Verifică accesul și necesitatea drepturilor acordate.
- Pregătește restaurarea disponibilității datelor și testează soluția aleasă.
- Păstrează metoda și rezultatul verificării eficacității măsurilor.
Sursă: GDPR, art. 32 alin. (1)–(4).
Exemple de măsuri tehnice și organizatorice și cum le verifici
Articolul 32 stabilește rezultatul urmărit și criteriile de alegere a măsurilor. Tabelul este un exemplu practic de organizare, nu o listă obligatorie pentru orice companie. Adaptează verificările la datele prelucrate, consecințele posibile pentru persoane și sistemele folosite.
| Risc sau situație | Exemplu de verificare | Dovadă utilă pentru echipă |
|---|---|---|
| Acces după schimbarea rolului | Compari drepturile din aplicație cu atribuțiile actuale și verifici retragerea accesului nejustificat. | Rezultatul reviziei, modificările și confirmarea verificării. |
| Date indisponibile | Testezi restaurarea datelor într-un mediu adecvat și verifici dacă pot fi folosite. | Scenariul, copia testată, durata observată și rezultatul. |
| Document trimis greșit | Verifici destinatarii și modul de partajare; analizezi incidentul dacă datele au fost divulgate. | Cronologia, măsurile de limitare și analiza riscului pentru persoane. |
| Date păstrate fără justificare | Compari păstrarea efectivă cu termenele stabilite și cu obligațiile relevante. | Verificarea ștergerii sau justificarea păstrării, pentru domeniul analizat. |
| Prelucrare la un furnizor | Confrunți serviciul și instrucțiunile cu acordul și garanțiile furnizorului. | Contractul relevant, răspunsurile și clarificările rămase deschise. |
Sursă: GDPR, art. 5 alin. (1) lit. e)–f), art. 24, art. 28 și art. 32.
Păstrează numai informațiile necesare pentru verificare. Într-un raport intern, un identificator al cazului sau un rezultat anonimizat poate evita copierea inutilă a datelor persoanelor. Restricționează accesul la probele care conțin date personale.
Sursă: GDPR, art. 5 alin. (1) lit. c) și f).
Ce păstrezi în evidența prelucrărilor
Articolul 30 distinge evidența operatorului de cea a persoanei împuternicite. Derogarea pentru organizații cu mai puțin de 250 de angajați are excepții: prelucrări care pot genera risc, prelucrări care nu sunt ocazionale, categorii speciale de date sau date privind condamnări și infracțiuni. Numărul mic de angajați nu rezolvă singur analiza.
Sursă: GDPR, art. 30, în special alin. (5).
Cum separi incidentul tehnic de încălcarea securității datelor
Identifică mai întâi dacă există o încălcare a securității datelor personale și evaluează riscul pentru persoane. Operatorul notifică autoritatea competentă fără întârzieri nejustificate și, dacă este posibil, în cel mult 72 de ore de la luarea la cunoștință, cu excepția situației în care este puțin probabil ca încălcarea să genereze un risc. Întârzierea se motivează. Persoana împuternicită informează operatorul fără întârzieri nejustificate.
Informarea persoanelor este o analiză distinctă, legată de riscul ridicat și de excepțiile articolului 34. Documentează toate încălcările, inclusiv motivele pentru care o notificare nu a fost necesară. Un mesaj de phishing primit, fără compromitere, nu dovedește singur o încălcare a securității datelor.
Sursă: GDPR, art. 4 pct. 12, art. 33 alin. (1)–(5) și art. 34.
Sursă: Rectificarea GDPR din 23 mai 2018, în special art. 30 și art. 33 alin. (1).
Exemplu: un document trimis unui destinatar greșit
| Întrebare | Ce consemnezi |
|---|---|
| Ce s-a transmis? | Categoriile de date și persoanele afectate, fără multiplicarea inutilă a datelor |
| Ce știm despre acces? | Destinatarul, măsurile de limitare și informațiile încă necunoscute |
| Ce consecințe sunt posibile? | Analiza riscului pentru persoane și cine o validează |
| Care este decizia? | Notificarea, informarea persoanelor sau justificarea excepției aplicabile |
Cum arată o măsură verificată, nu doar descrisă
O procedură poate spune că accesul unui fost angajat este retras. Verificarea urmărește dacă drepturile au fost retrase în aplicațiile relevante și dacă există excepții. Procedura, intervenția și verificarea rezultatului sunt trei lucruri distincte; ai nevoie de o legătură între ele pentru a explica ce s-a întâmplat.
O verificare fără neconformități susține concluzia doar pentru domeniul și momentul analizate. Repetarea testelor și revizuirea măsurilor se organizează în funcție de risc și de schimbările prelucrării. GDPR nu stabilește același calendar de verificare pentru toate companiile.
Sursă: GDPR, art. 24 alin. (1) și art. 32 alin. (1) lit. d).
Legătura cu NIS2 și cu munca echipei
O măsură de acces sau de restaurare poate fi relevantă în mai multe cadre. Păstrează însă analiza fiecărei obligații, inclusiv criteriile și termenele proprii de raportare. Îndeplinirea unei cerințe NIS2 nu dovedește automat respectarea GDPR.
Sursă: OUG nr. 155/2024, art. 2 alin. (5) și art. 62 alin. (3)–(4).
Surse și limite
- GDPR — textul consolidat
- OUG nr. 155/2024 — forma consolidată din 6 iulie 2026
- Rectificarea GDPR din 23 mai 2018, în special art. 30 și art. 33 alin. (1)
Surse consultate pentru revizia din 15 octombrie 2026. Articolele și versiunile relevante sunt indicate lângă explicații. Exemplele de organizare sunt orientative; analiza obligațiilor unei companii depinde de faptele sale și de forma aplicabilă a normelor.