Evidența activităților de prelucrare, DPIA și finalizarea trecerii la cloudul european

Modulul 9: Persoane și reguli · Timp de citire: 12 minute

Obiectiv de învățare: După această lecție veți putea actualiza evidența activităților de prelucrare și declarația de confidențialitate după trecerea la noul furnizor, stabili dacă este necesară o DPIA, dispune ștergerea ordonată a datelor la vechiul furnizor și finaliza formal trecerea cu ajutorul unei liste de verificare finale.

Noțiuni cheie: evidența activităților de prelucrare (art. 30), excepția pentru organizațiile cu mai puțin de 250 de angajați, DPIA (art. 35), lista DPIA a autorității de supraveghere, declarația de confidențialitate (art. 13 și 14), destinatari, transfer, obligația de notificare a încălcării securității datelor (art. 33), ștergerea datelor la vechiul furnizor, confirmarea ștergerii, evaluare, lista de verificare finală

Trecerea este finalizată abia când actele sunt în ordine

E mailul funcționează, fișierele sunt acolo, toată lumea lucrează în noul mediu. Din punct de vedere tehnic, ați terminat. Dar pentru GDPR mai există lucru de făcut: documentația dumneavoastră încă descrie situația veche. La o întrebare din partea unui client, la un control sau în cazul unei încălcări a securității datelor, veți dori să arătați cum stau lucrurile acum. Această lecție finalizează trecerea.

Aceasta este o explicație, nu consultanță juridică.

Evidența activităților de prelucrare

Articolul 30 alineatul (1) din GDPR obligă operatorul să țină o evidență a activităților de prelucrare. Aceasta conține, pentru fiecare prelucrare (de exemplu "comenzi ale clienților", "administrarea personalului", "newsletter"):

• numele și datele de contact ale operatorului (și, dacă este cazul, ale responsabilului cu protecția datelor);
• scopurile prelucrării;
• categoriile de persoane vizate și de date cu caracter personal;
• destinatarii, inclusiv persoanele împuternicite de operator;
• transferurile către țări din afara SEE, cu garanțiile aferente;
• termenele de păstrare, acolo unde este posibil;
• o descriere generală a măsurilor de securitate, acolo unde este posibil.

Se aplică acest lucru și unei organizații mici?

Articolul 30 alineatul (5) conține o excepție pentru organizațiile cu mai puțin de 250 de angajați. Dar această excepție nu se aplică dacă prelucrarea poate genera un risc, dacă nu este ocazională, sau dacă implică date cu caracter personal speciale (cum ar fi datele privind sănătatea) sau date referitoare la condamnări penale. Autoritatea olandeză de supraveghere (Autoriteit Persoonsgegevens) explică faptul că, în practică, prelucrările sunt rareori ocazionale: din momentul în care aveți angajați sau clienți fideli, prelucrați date în mod structural. Pentru Bakkerij De Korrel, care are administrarea salariilor, comenzi ale clienților și concedii medicale, excepția nu se aplică așadar.

Există o propunere europeană de simplificare a obligației de evidență pentru organizațiile mai mici (așa numitul pachet Omnibus IV; în iunie 2026, Consiliul și Parlamentul au ajuns la un acord provizoriu). Atât timp cât aceasta nu a intrat în vigoare, se aplică articolul 30 actual. Și chiar și după aceea, o evidență rămâne utilă: aveți nevoie de ea pentru a vă putea îndeplini celelalte obligații.

Ce ajustați după trecere?

Parcurgeți fiecare rând din evidența dumneavoastră și ajustați-l:

O trecere este un moment bun pentru a reglementa în sfârșit termenele de păstrare. Pentru evidența fiscală, în Țările de Jos se aplică, de regulă, o obligație de păstrare de șapte ani; pentru datele din candidaturi, autoritatea olandeză de supraveghere recomandă în principiu patru săptămâni după finalizarea procedurii. Verificați ce termene se aplică pentru sectorul dumneavoastră. Rețineți că aceasta este o regulă olandeză; în țara dumneavoastră pot exista alte termene.

Trebuie să faceți o DPIA?

O DPIA (data protection impact assessment, în GDPR "evaluarea impactului asupra protecției datelor") este o analiză de risc structurată, realizată în prealabil. Articolul 35 obligă la o DPIA dacă o prelucrare poate genera un risc ridicat pentru persoanele vizate, mai ales în cazul noilor tehnologii.

Cum știți dacă este cazul?

1. Lista autorității de supraveghere. Autoritatea olandeză de supraveghere (Autoriteit Persoonsgegevens) a publicat în 2019 o listă cu șaptesprezece tipuri de prelucrări pentru care o DPIA este întotdeauna obligatorie. Printre acestea se numără prelucrarea la scară largă a datelor privind sănătatea, supravegherea video, monitorizarea angajaților, datele de comunicare, datele de localizare, crearea de profiluri și datele biometrice. Este vorba despre o listă a autorității olandeze; fiecare autoritate de supraveghere din UE are propria listă DPIA (art. 35 alin. (4)), așadar verificați lista valabilă pentru țara dumneavoastră.
2. Criteriile europene. Autoritățile europene de supraveghere au stabilit nouă criterii (precum date sensibile, scară mare, persoane vizate vulnerabile, monitorizare sistematică, tehnologie nouă). Dacă o prelucrare îndeplinește două sau mai multe dintre acestea, o DPIA este, de regulă, necesară.

Pentru o brutărie care mută e mailul și fișierele, o DPIA de regulă nu este obligatorie. Pentru un cabinet medical care mută comunicarea cu pacienții către un nou serviciu, sau pentru o școală cu date ale elevilor, situația este diferită. Chiar și atunci când nu este obligatorie, o scurtă analiză de risc poate fi utilă. Evaluarea din lecția 1.5 este un bun punct de plecare pentru aceasta. Dacă aveți deja o DPIA pentru vechiul serviciu, actualizați o.

Declarația de confidențialitate

În declarația de confidențialitate informați persoanele vizate (clienți, candidați, vizitatori ai site ului) cu privire la modul în care le gestionați datele (art. 13 și 14). Aici sunt menționați, printre altele, destinatarii sau categoriile de destinatari și eventualele transferuri în afara SEE. Dacă scria "folosim servicii ale unor companii din Statele Unite pe baza Data Privacy Framework", ajustați acest lucru. Nu schimbați nimic ce nu este corect: menționați doar ceea ce știți cu certitudine din acordul de prelucrare a datelor și din lista subcontractanților.

Încălcări ale securității datelor: știți pe cine să sunați

După trecere, furnizorul dumneavoastră s a schimbat, deci și traseul în cazul unei încălcări a securității datelor. Includeți în procedura dumneavoastră:

• adresa de contact a noului furnizor pentru incidente de securitate;
• termenul în care furnizorul vă informează, conform acordului de prelucrare a datelor;
• cine decide la dumneavoastră dacă trebuie făcută o notificare, deoarece notificarea către autoritatea de supraveghere trebuie făcută în termen de 72 de ore de la descoperire (art. 33);
• unde țineți evidența încălcărilor de securitate: trebuie să înregistrați intern și încălcările pe care nu sunteți obligat să le notificați (art. 33 alin. (5)).

Finalizarea la vechiul furnizor

Reziliați vechiul serviciu abia după ce totul funcționează bine timp de câteva săptămâni (lecția 3.3). Apoi:

1. Ultimul control: totul a fost preluat? Mai există foldere partajate, formulare sau legături care încă indică spre vechiul serviciu?
2. Exportați o ultimă arhivă pentru propria dumneavoastră evidență, dacă doriți să o păstrați (de exemplu e mailul care intră sub obligația de păstrare). Păstrați o criptat.
3. Ștergeți conturile și datele de la vechiul furnizor, sau dispuneți ștergerea lor. Articolul 28 alineatul (3) litera g obligă vechea persoană împuternicită să șteargă sau să restituie datele la final, la alegerea dumneavoastră. Solicitați o confirmare a ștergerii și păstrați o alături de evidența dumneavoastră.
4. Curățați legăturile: conectările de tip "autentificare cu" la alte servicii, aplicațiile cu acces și înregistrările de verificare din DNS ul dumneavoastră (lecția 4.3).
5. Actualizați evidența, declarația de confidențialitate și procedura privind încălcările de securitate (a se vedea mai sus).

Evaluare

Planificați, la o lună după trecere, o scurtă evaluare împreună cu ambasadorii (lecția 9.1). Ce a mers bine, ce nu, ce ați face diferit data viitoare? Notați de asemenea planul dumneavoastră de ieșire pentru noul serviciu (lecția 8.2) și stabiliți o dată în agendă pentru a l testa anual.

În practică: cum arată acest lucru la un furnizor

Mulți furnizori au o funcție prin care vă puteți descărca datele sau solicita ștergerea contului. La WebOké, manualul WebOké explică cum vă descărcați datele sau solicitați ștergerea lor. La serviciile americane mari, acest lucru se numește de obicei "exportați date" și "ștergeți contul", iar administratorul unui cont de organizație are propriile funcții de export. Citiți în prealabil cât timp păstrează serviciul datele în copiile de siguranță după ștergere; acest lucru este menționat adesea în declarația de confidențialitate sau în acordul de prelucrare a datelor.

Lista de verificare finală

• [ ] Toate elementele din inventar (lecția 3.1) se regăsesc în noul mediu și au fost verificate
• [ ] Acordul/acordurile de prelucrare a datelor cu noul/noii furnizor(i) încheiate și păstrate (lecția 9.2)
• [ ] Evidența activităților de prelucrare actualizată: destinatari, transferuri, securitate, termene de păstrare
• [ ] DPIA evaluată (necesară sau nu, și motivul consemnat)
• [ ] Declarația de confidențialitate ajustată
• [ ] Procedura de notificare a încălcărilor de securitate actualizată cu noile date de contact
• [ ] Vechiul serviciu reziliat, datele șterse, confirmarea păstrată
• [ ] Legăturile și înregistrările DNS vechi curățate
• [ ] Copie de siguranță a noului mediu configurată și testată (lecția 8.1)
• [ ] Plan de ieșire pentru noul serviciu consemnat (lecția 8.2)
• [ ] Evaluare efectuată

Rezumat

• După trecere, actualizați evidența activităților de prelucrare: destinatari, transferuri, securitate și termene de păstrare.
• Excepția pentru mai puțin de 250 de angajați se aplică rareori în practică; o propunere de simplificare a acesteia nu a intrat încă în vigoare (situația la noiembrie 2026).
• O DPIA este obligatorie în caz de risc ridicat (lista autorității de supraveghere, criteriile europene); pentru datele obișnuite de birou de obicei nu.
• Ajustați declarația de confidențialitate și procedura de notificare a încălcărilor de securitate.
• Dispuneți ștergerea datelor dumneavoastră la vechiul furnizor și solicitați o confirmare.

Quiz

Exercițiu

Exercițiul E9.3: Finalizați trecerea dumneavoastră. Pentru trei prelucrări din organizația dumneavoastră, actualizați rândurile din evidența activităților de prelucrare (destinatari, transfer, securitate, termen de păstrare), evaluați, folosind lista autorității de supraveghere și criteriile europene, dacă este necesară o DPIA, și completați lista de verificare finală.

Lecturi suplimentare

Pașii din aceste articole se aplică serviciilor WebOké; la alți furnizori funcționează similar.

• Manual WebOké 11.7: Confidențialitate: descărcarea sau ștergerea datelor dumneavoastră
• Manual Nextcloud 16.7: Un coleg pleacă: preluarea în siguranță a fișierelor, calendarului și dosarelor partajate
• Manual Nextcloud 15.13: Întrebări frecvente despre securitate și confidențialitate
• Regulamentul (UE) 2016/679 (GDPR), articolele 13, 14, 28, 30, 33 și 35, pe EUR-Lex
• Decizia privind lista prelucrărilor de date cu caracter personal pentru care este obligatorie o DPIA (autoritatea olandeză de supraveghere, Stcrt. 2019), pe wetten.overheid.nl (BWBR0042812), document valabil pentru Țările de Jos; fiecare autoritate de supraveghere din UE are propria listă
• Autoriteit Persoonsgegevens (autoritatea olandeză de supraveghere), subiectele "Register van verwerkingsactiviteiten" (evidența activităților de prelucrare) și "DPIA": https://www.autoriteitpersoonsgegevens.nl