Legea GDPR. Care sunt obligatiile unei firme de contabilitate?

Desi legea GDPR a intrat in vigoare de cateva luni bune, incepand cu data de 25 mai, inca exista numeroase neclaritati legate de prevederi. Daca lucrurile par clare in teorie, situatia se complica atunci cand legea trebuie aplicata efectiv. Spre exemplu, putini specialisti din domeniu stiu care sunt obligatiile unei firme de contabilitate, astfel ca vom prezenta mai jos un caz practic.

In cazul unei societati de contabilitate, aceasta trebuie sa se inscrie la ANSPDCP? Administratorul are curs DPO, dar care sunt pasii de urmat atat pentru societatea sa, cat si pentru societatile cu care colaboreaza? Si ce ar trebui sa faca daca doreste sa presteze servicii privind protectia datelor, atat pentru societatile cu care colaboreaza, cat si pentru terte persoane?
 

Legea GDPR: raspunsul specialistului

 Odata cu aplicarea GDPR - incepand cu data de 25 mai 2018 - a fost eliminata obligatia operatorilor de a notifica prelucrarile de date efectuate. Formularul de notificare de pe website-ul autoritatii nu va mai putea fi completat de operatori in vederea inscrierii in registrul de evidenta a prelucrarilor de date cu caracter personal prelucrarile efectuate de operatori. Totodata, formularele de notificare transmise de operatori anterior datei de 25 mai 2018 si nesolutionate de Autoritatea de supraveghere, nu vor mai fi inscrise in registrul de evidenta a prelucrarilor de date cu caracter personal si nu vor mai primi raspuns din partea autoritatii. Cu toate acestea, eliminarea obligatiei de a notifica autoritatea de supraveghere nu exonereaza operatorii de indeplinirea obligatiilor care le revin potrivit dispozitiilor Regulamentului UE 2016/679.

Potrivit recomandarilor fostului Grup de Lucru art. 29, DPO poate fi desemnat pe baza unui contract de prestari servicii incheiat cu o persoana fizica sau o organizatie din afara organizatiei operatorului/persoanei imputernicite de catre operator. In aceasta din urma situatie este esential ca fiecare dintre membrii organizatiei care indeplineste functia de DPO sa nu se afle intr-o situatie de conflict de interese. Fata de situatia expusa deducem ca, in principiu, nu ar fi in deplina conformitate cu GDPR ca un administrator al societatii de contabilitate (imputernicit in raport cu clientul - operator de date) sa indeplineasca functia de DPO.

Pe de alta parte, incompatibilitatile si interdictiile ar trebui sa fie prevazute expres de lege si nu ar putea fi extinse la alte situatii care nu au fost precizate in lege. Nici GDPR si nici legislatia nationala nu prevede o astfel de interdictie, motiv pentru care in lipsa unei dispozitii legale in acest sens si in lipsa relei-credinte in exercitarea functiei de DPO (adica indeplinirea cu obiectivitate, cu integritate si in mod transparent a functiei) ne-ar fi greu sa afirmam ca am fi in prezenta unui conflict de interese.

Manualul Contabilului Incepator - stick USB

Vezi AICI detalii

Bugete cash flow rentabilitate risc - ghid practic

Vezi AICI detalii

Cartea verde a contabilitatii

Vezi AICI detalii

Raspuns oferit pe portalprotectiadatelor.ro de Andreea COMAN - Avocat SAVESCU & ASOCIATII.