Regulamentul GDPR se aplică oricărei entități care prelucrează date personale, indiferent de dimensiune, fără un prag minim de la care obligațiile devin active și fără o scutire generală pentru firmele mici.
Pentru companiile cu sub 250 de angajați există o singură derogare, privind ținerea registrului activităților de prelucrare, aplicabilă în condiții restrictive, în timp ce toate celelalte reguli se aplică identic.
„În practică, derogarea pentru companiile mici are o aplicare foarte limitată, deoarece nu operează pentru prelucrările curente, cum sunt cele privind angajații sau clienții, și nici pentru cele care implică date sensibile. La nivel european există propuneri de simplificare, prin pachetele Omnibus, care vizează extinderea și relaxarea acestei derogări, precum și alte ajustări ale Regulamentului, însă acestea nu sunt încă în vigoare. Până la adoptarea lor, companiile trebuie să respecte Regulamentul în forma sa actuală”, a menționat Adela Nuță.
Cine este operator în sensul Regulamentului
Operatorul este persoana fizică sau juridică, autoritatea publică sau orice alt organism care stabilește, singur sau împreună cu alții, scopurile și mijloacele prelucrării și căreia îi revine răspunderea pentru respectarea Regulamentului. Calitatea de operator nu este rezervată doar companiilor, iar linia care separă obligațiile legale de simpla activitate privată este dată de scopul prelucrării.
„Deși noțiunea de operator este asociată de regulă companiilor, Regulamentul nu exclude persoanele fizice. Excepția privește doar prelucrările efectuate în cadrul unor activități exclusiv personale sau domestice. De îndată ce prelucrarea depășește această sferă, persoana fizică devine operator și trebuie să respecte obligațiile prevăzute de Regulament, în mod proporțional cu riscurile prelucrării”, a explicat Adela Nuță.
Linia care separă activitatea privată de obligațiile legale este ilustrată de situații des întâlnite în practică.
„Cel mai frecvent exemplu este camera de supraveghere montată pe locuință care filmează și strada sau proprietatea vecinului. Curtea de Justiție a Uniunii Europene a stabilit că o supraveghere extinsă chiar și parțial asupra spațiului public nu mai beneficiază de excepția domestică. În aceeași situație se află persoana care publică pe internet date ale altor persoane, accesibile unui număr nedeterminat de utilizatori, precum și profesionistul care activează în nume propriu, de exemplu medicul cu cabinet individual sau persoana fizică autorizată care prelucrează datele clienților”, a adăugat Adela Nuță.
Supravegherea video a angajaților
Supravegherea video la sediu se justifică prin interesul legitim de securitate și înregistrează imagini cu angajați și vizitatori. Imaginile rămân în uz intern și se transmit autorităților competente doar la cerere, cu o retenție recomandată de maximum 30 de zile. Deși este o practică răspândită, aceasta rămâne una dintre zonele în care firmele mici greșesc cel mai des.
„Supravegherea video a angajaților este, în practică, una dintre cele mai frecvente surse de sancțiuni pentru firmele mici. Legea nr. 190/2018 permite monitorizarea la locul de muncă doar în condiții stricte. Interesul angajatorului trebuie să fie temeinic justificat, angajații trebuie informați în prealabil, complet și explicit, sindicatul sau reprezentanții salariaților trebuie consultați, iar firma trebuie să demonstreze că mijloacele mai puțin intruzive nu au fost eficiente”, atenționează Adela Nuță.
Amenzile aplicate de ANSPDCP în România
În ceea ce privește amenzile, GDPR prevede două plafoane, în funcție de gravitatea încălcării. Pentru anumite abateri, amenda ajunge până la 10 milioane de euro sau 2% din cifra de afaceri globală anuală a exercițiului financiar anterior, iar pentru încălcările grave până la 20 de milioane de euro sau 4%, aplicându-se în fiecare caz valoarea cea mai mare dintre cele două.
Aceste plafoane sunt maxime legale, nu sume aplicate uzual, întrucât autoritatea stabilește cuantumul în funcție de gravitatea faptei și de circumstanțele fiecărui caz, iar pentru o firmă mică o amendă de ordinul zecilor de mii de euro poate însemna încetarea activității.
„În practică, cuantumul amenzii contează mai puțin decât modul în care firma gestionează investigația. Un răspuns tardiv sau incomplet către ANSPDCP ori o măsură corectivă ignorată pot transforma un simplu avertisment într-o amendă. Nerespectarea unei măsuri dispuse de autoritate este încadrată de Regulament în categoria celor mai grave încălcări, astfel că o neconformitate minoră poate deveni costisitoare doar prin felul în care este tratată”, subliniază avocata.
Capcana instrumentelor AI la locul de muncă
Un risc pe care majoritatea firmelor mici nu îl vede este utilizarea instrumentelor de inteligență artificială. Dacă angajații introduc date despre clienți sau colegi în ChatGPT, Copilot ori alt instrument similar, acele date ajung pe serverele unui furnizor extern, iar din punct de vedere legal aceasta este o prelucrare de date personale, supusă acelorași reguli GDPR, plus, din 2025, un strat suplimentar de cerințe introdus prin EU AI Act pentru companiile care folosesc sisteme de inteligență artificială.
Răspunsul nu presupune neapărat o politică extinsă. Chiar dacă nu este necesară o politică AI de zeci de pagini, trei reguli scrise, comunicate clar echipei și semnate de fiecare angajat ca luate la cunoștință, acoperă majoritatea riscurilor practice.
Prima stabilește ce tip de date nu se introduc niciodată în instrumente AI publice, respectiv nume, CNP-uri și date de contact ale clienților. A doua precizează ce instrumente sunt aprobate de firmă pentru uz profesional, iar a treia indică cui se raportează o suspiciune de utilizare greșită.
„AI Act nu cere unei firme mici o politică complexă pentru folosirea ChatGPT sau Copilot, ci măsuri care să sprijine pregătirea personalului, iar cele trei reguli de mai sus sunt tocmai o astfel de măsură, care merită documentată. Miza crește atunci când instrumentul este folosit pentru selecția candidaților sau evaluarea angajaților, domenii calificate drept cu risc ridicat, cu obligații suplimentare din decembrie 2027. Iar unele utilizări sunt interzise încă de acum, cum este deducerea emoțiilor angajaților la locul de muncă”, adaugă Adela Nuță.
Contractele cu împuterniciții
O etapă distinctă o reprezintă contractele cu împuterniciții, prin identificarea tuturor firmelor care prelucrează date în numele operatorului și semnarea unui acord de prelucrare cu fiecare dintre ele. Delegarea unei operațiuni către un furnizor nu transferă și răspunderea, iar acest aspect face din acordul de prelucrare un document cu miză reală la un control.
„Delegarea unei prelucrări către un furnizor nu înseamnă și delegarea răspunderii. Curtea de Justiție a Uniunii Europene a stabilit că firma poate fi amendată pentru prelucrările efectuate în numele său de furnizor. Excepția privește doar situația în care furnizorul a prelucrat datele într-un mod incompatibil cu cel stabilit de firmă sau la care nu se poate considera în mod rezonabil că aceasta a consimțit. De aceea, acordul de prelucrare nu este o formalitate. Instrucțiunile clare pe care le conține sunt tocmai cele care permit firmei să demonstreze că furnizorul a ieșit din cadrul stabilit”, a concluzionat Adela Nuță.
.png)
.webp)
.jpg)
.webp)
.png)
