Regulamentul privind protectia datelor: ce obligatii are un cabinet de contabilitate?

Termenul regulamentului privind protectia datelor se apropie cu pasi repezi. Mai sunt doar cateva zile pana cand va intra in vigoare unul dintre cele mai controversate acte normative. Vom afla in randurile de mai jos cum vor fi afectate cabinetele de contabilitate si ce obligatii au acestea.

Obligatii privind protectia datelor cu caracter personal: raspunsul specialistului

Cu privire la calitatea detinuta de catre expertul contabil in exercitarea profesiei liberale definite in acest sens si de art. 7 pct. 34 din Codul fiscal in conformitate cu prevederile Regulamentului 679/2016 acesta poate avea calitatea de operator de date cu caracter personal conform pct. 7 al art. 4 care stabileste ca „operator” inseamna persoana fizica sau juridica, autoritatea publica, agentia sau alt organism care, singur sau impreuna cu altele, stabileste scopurile si mijloacele de prelucrare a datelor cu caracter personal.

Notiunea de „date cu caracter personal” reprezinta orice informatii privind o persoana fizica identificata sau identificabila („persoana vizata”); o persoana fizica identificabila este o persoana care poate fi identificata, direct sau indirect, in special prin referire la un element de identificare, cum ar fi un nume, un numar de identificare, date de localizare, un identificator online, sau la unul sau mai multe elemente specifice, proprii identitatii sale fizice, fiziologice, genetice, psihice, economice, culturale sau sociale. In acelasi timp, notiunea de prelucrare a datelor, reprezinta orice operatiune sau set de operatiuni efectuate asupra datelor cu caracter personal sau asupra seturilor de date cu caracter personal, cu sau fara utilizarea de mijloace automatizate, cum ar fi colectarea, inregistrarea, organizarea, structurarea, stocarea, adaptarea sau modificarea, extragerea, consultarea, utilizarea, divulgarea prin transmitere, diseminarea sau punerea la dispozitie in orice alt mod, alinierea sau combinarea, restrictionarea, stergerea sau distrugerea.

Asadar, expertul contabil poate dobandi calitatea de operator pentru proprii salariati sau pentru clientii persoane fizice sau poate avea doar calitatea de persoana imputernicita de operator, definita de art. 4 pct. 8 din Regulament, exercitata in conditiile art. 28 din aceeasi reglementare in situatia in care prelucreaza date pentru operator.

Prelucrarea datelor de catre o persoana imputernicita de un operator este reglementata printr-un contract sau alt act juridic care are caracter obligatoriu pentru persoana imputernicita de operator in raport cu operatorul si care stabileste:

- obiectul si durata prelucrarii;

- natura si scopul prelucrarii,

- tipul de date cu caracter personal;

- categoriile de persoane vizate si obligatiile si drepturile operatorului.

Operare SAGA Exemple practice si recomandari

Vezi AICI detalii

Achizitii de servicii din afara Romaniei Regim fiscal-contabil

Vezi AICI detalii

Ghidul Practic al Monografiilor Contabile 2024

Vezi AICI detalii

Sintetic, contractul prevede in special ca persoana imputernicita de operator:

a) prelucreaza datele cu caracter personal numai pe baza unor instructiuni documentate din partea operatorului;

b) se asigura ca persoanele autorizate sa prelucreze datele cu caracter personal s-au angajat sa respecte confidentialitatea sau au o obligatie statutara adecvata de confidentialitate;

c) adopta toate masurile necesare pentru asigurarea securitatii prelucrarii datelor in conformitate cu articolul 32;

d) respecta conditiile mentionate la alineatele (2) si (4) ale art. 28 privind conditiile recrutatii unei alte persoane imputernicite de operator;

e) tinand seama de natura prelucrarii, ofera asistenta operatorului prin masuri tehnice si organizatorice adecvate, in masura in care acest lucru este posibil, pentru indeplinirea obligatiei operatorului de a raspunde cererilor privind exercitarea de catre persoana vizata a drepturilor prevazute in capitolul III din Regulament privind drepturile persoanei vizate cum sunt cele privind informarea si accesul la datele personale, dreptul la rectificarea si la stergerea datelor, dreptul la restrictionarea prelucrarii ori cel privind portabilitatea datelor;

f) ajuta operatorul sa asigure respectarea obligatiilor prevazute la articolele 32-36, tinand seama de caracterul prelucrarii si informatiile aflate la dispozitia persoanei imputernicite de operator; g) la alegerea operatorului, sterge sau returneaza operatorului toate datele cu caracter personal dupa incetarea furnizarii serviciilor legate de prelucrare si elimina copiile existente, cu exceptia cazului in care dreptul Uniunii sau dreptul intern impune stocarea datelor cu caracter personal;

h) pune la dispozitia operatorului toate informatiile necesare pentru a demonstra respectarea obligatiilor prevazute la prezentul articol, permite desfasurarea auditurilor, inclusiv a inspectiilor, efectuate de operator sau alt auditor mandatat si contribuie la acestea. Informeaza imediat operatorul in cazul in care, in opinia sa, o instructiune incalca prezentul regulament sau alte dispozitii din dreptul intern sau din dreptul Uniunii referitoare la protectia datelor.

Avand in vedere cele de mai sus, pentru a asigura punerea in aplicare a Regulamentului 679/2016, in sinteza, urmeaza a avea in vedere incheierea unui contract privind exercitarea calitatii de persoana imputernicita de operator, adoptarea uor proceduri privind accesul la datele cu caracter personal colectate si implementarea unor solutii tehnice, in cazul in care acestea nu exista privind siguranta datelor si modalitatea de exercitarea de catre persoanele vizate a drepturilor conferite de Regulament. In acelasi timp este necesara urmarirea adoptarii unor coduri de conduita, in temeiul art. 40 din Regulament, de catre organismele profesionale care reglementeaza exercitarea profesiei liberale pentru a se putea asigura o aplicare unitara a actului normativ in sfera operatiunilor efectuate de catre memebrii acestora.

Cu privire la conditiile detaliate care impun desemnarea unui responsabil cu protectia datelor (DPO) prevazute in cadrul art. 37 alin. (1) lit. b) din Regulament acestea sunt determinate de existenta in activitatile principale ale operatorului sau ale persoanei imputernicite de operator a operatiunilor de prelucrare care, prin natura, domeniul de aplicare si/sau scopurile lor, necesita o monitorizare periodica si sistematica a persoanelor vizate pe scara larga.

In vederea stabilirii obligatiei desemnarii DPO sunt analizate mai intai activitatile principale ale operatorului si daca acestea sunt plasate in sfera activitatilor referitoare la colectarea si prelucrarea datelor cu caracter personal. Cea de a doua conditie priveste existenta unei activitati de monitorizare realizata in cadrul unui interval de timp stabilit de societate si pe baza unor criterii sistematice. Cea de a treia si ultima conditie vizeaza notiunea de scara larga a monitorizarii. Aceasta analiza se realizeaza plecand de la numarul persoanelor vizate respective daca analiza se realizeaza asupra unui numar exact ori un procent din populatia relevanta, volumul datelor si/sau gama de elemente diferite de date in curs de prelucrare, durata sau permanenta activitatii de prelucrare a datelor, suprafata geografica a activitatii de prelucrare.

Avand in vedere ca la aceasta data nu sunt adoptate reglementari interne secundare care sa detalieze conditiile prevazute la art. 37 alin. (1) lit. b) din Regulament consideram ca fiecare operator urmeaza sa raporteze activitatea desfasurata la criteriile cumulative descrise mai sus. Avand in vedere natura activitatii descrisa in intrebarea dumneavoastra consideram ca nu sunt indeplinite conditiile pentru desemnarea unui responsabil cu protectia datelor.

Trebuie subliniat ca prelucrarea datelor efectuate ca urmare a aplicarii unor dispozitiile legale cum sunt cele din domeniul raporturilor de munca sau a celor de drept fiscal produc efecte in ceea ce priveste necesitatea obtinerii consimtamantului persoanei vizate fara a influenta criteriile de desemnare a DPO mentionate mai sus.

Raspuns oferit pe portalcontabilitate.ro de Justinian Cucu - Jurist si expert in proceduri fiscale.