Procedura de cartografiere a datelor cu caracter personal

1. DEFINIŢII

„GDPR”, „Regulamentul” – Regulamentul (UE) 2016/679 al Parlamentului European şi al Consiliului din 27 aprilie 2016 privind protecţia persoanelor fizice în ceea ce priveşte prelucrarea datelor cu caracter personal şi privind libera circulaţie a acestor date şi de abrogare a Directivei 95/46/CE (Regulamentul general privind protecţia datelor, în limba engleză General Data Protection Regulation);

„date cu caracter personal” – orice informaţii privind o persoană fizică identificată sau identificabilă („persoana vizată”); o persoană fizică identificabilă este o persoană care poate fi identificată, direct sau indirect, în special prin referire la un element de identificare, cum ar fi un nume, un număr de identificare, date de localizare, un identificator online, sau la unul sau mai multe elemente specifice, proprii identităţii sale fizice, fiziologice, genetice, psihice, economice, culturale sau sociale;

„prelucrare” – înseamnă orice operaţiune sau set de operaţiuni efectuate asupra datelor cu caracter personal sau asupra seturilor de date cu caracter personal, cu sau fără utilizarea de mijloace automatizate, cum ar fi colectarea, înregistrarea, organizarea, structurarea, stocarea, adaptarea sau modificarea, extragerea, consultarea, utilizarea, divulgarea prin transmitere, diseminarea sau punerea la dispoziţie în orice alt mod, alinierea sau combinarea, restricţionarea, ştergerea sau distrugerea;

„operator” – înseamnă persoana fizică sau juridică, autoritatea publică, agenţia sau alt organism care, singur sau împreună cu altele, stabileşte scopurile şi mijloacele de prelucrare a datelor cu caracter personal; atunci când scopurile şi mijloacele prelucrării sunt stabilite prin dreptul Uniunii sau dreptul intern, operatorul sau criteriile specifice pentru desemnarea acestuia pot fi prevăzute în dreptul Uniunii sau în dreptul intern;

„persoana împuternicită de operator” – înseamnă persoana fizică sau juridică, autoritatea publică, agenţia sau alt organism care prelucrează datele cu caracter personal în numele operatorului;

„destinatar” – înseamnă persoana fizică sau juridică, autoritatea publică, agenţia sau alt organism căreia (căruia) îi sunt divulgate datele cu caracter personal, indiferent dacă este sau nu o parte terţă. Cu toate acestea, autorităţile publice cărora li se pot comunica date cu caracter personal în cadrul unei

anumite anchete în conformitate cu dreptul Uniunii sau cu dreptul intern nu sunt considerate destinatari; prelucrarea acestor date de către autorităţile publice respective respectă normele aplicabile în materie de protecţie a datelor, în conformitate cu scopurile prelucrării;

„parte terţă” – înseamnă o persoană fizică sau juridică, autoritate publică, agenţie sau organism altul decât persoana vizată, operatorul, persoana împuternicită de operator şi persoanele care, sub directă autoritate a operatorului sau a persoanei împuternicite de operator, sunt autorizate să prelucreze date cu caracter personal;

„consimţământ” – al persoanei vizate înseamnă orice manifestare de voinţă liberă, specifică, informată şi lipsită de ambiguitate a persoanei vizate prin care această acceptă, printr-o declaraţie sau printr-o acţiune fără echivoc, ca datele cu caracter personal care o privesc să fie prelucrate;

„încălcarea securităţii datelor cu caracter personal” – înseamnă o încălcare a securităţii care duce, în mod accidental sau ilegal, la distrugerea, pierderea, modificarea, sau divulgarea neautorizată a datelor cu caracter personal transmise, stocate sau prelucrate într-un alt mod, sau la accesul neautorizat la acestea;

„reprezentant” – înseamnă o persoană fizică sau juridică stabilită în Uniune, desemnată în scris de către operator sau persoana împuternicită de operator, care reprezintă operatorul sau persoana împuternicită în ceea ce priveşte obligaţiile lor respective care le revin în temeiul GDPR;

„reguli corporatiste obligatorii” – înseamnă politicile în materie de protecţie a datelor cu caracter personal care trebuie respectate de un operator sau de o persoană împuternicită de operator stabilită pe teritoriul unui stat membru, în ceea ce priveşte transferurile sau seturile de transferuri de date cu caracter personal către un operator sau o persoană împuternicită de operator în una sau mai multe ţări terţe în cadrul unui grup de întreprinderi sau al unui grup de întreprinderi implicate într-o activitate economică comună;

„autoritate de supraveghere” – înseamnă o autoritate publică independentă instituită de un stat membru;

„DPO” – responsabilul cu protecţia datelor (în limba engleză, data protection officer);

„DPIA” – evaluarea impactului asupra protecţiei datelor (în limba engleză, data-protection impact assessment, DPIA);

„Autoritate de Supraveghere” – Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP).

2. SCOPUL ŞI DOMENIUL DE APLICARE

2.1. SCOPUL

Prezenta procedură documentează cerinţele privind întocmirea documentului numit „Cartografierea datelor cu caracter personal”.

2.2. DOMENIUL DE APLICARE

Prezenta procedură se aplică tuturor structurilor organizatorice ale Operatorului SC TRIPLAST SLR din Tirgu Mureș. Prezenta procedură va fi considerată ca având caracter general şi se va aplica tuturor prelucrărilor efectuate de Operator.

În cazul în care se constată existenţa anumitor aspecte pentru care prezenta procedură nu oferă directive corespunzătoare, Angajaţii trebuie să solicite imediat consiliere din partea Ofiţerului responsabil cu protecţia datelor (DPO) sau reprezentantului legal al Operatorului.

2.3. DOCUMENTE DE REFERINȚĂ

– GDPR

– Regulament intern

– Proceduri interne

3. REGULI GENERALE

3.1. GENERAL. Operatorul TRIPLAST din Tirgu Mureș va întocmi un tabel (de preferat în format excel),  în care va  enumera fiecare linie (de ex. “activitate” desfăşurată în cadrul fiecărui proces) împreună cu informaţiile legate de colectare, stocare, utilizare, transfer şi distrugere a conţinutului datelor critice pentru fiecare departament.

IMPORTANT: Operatorul va trece prin puncte de mai jos fiecare tip de document care conţine date cu caracter personal.

3.2. TIPUL/NUMELE DOCUMENTELOR PENTRU COLECTAREA DATELOR CU CARACTER PERSONAL

Operatorul TRIPLAST din Tirgu Mureș va identifica tipul/numele documentelor pentru colectarea datelor cu caracter personal se vor selecta categoriile de date din Schema de Clasificare a datelor (Anexa 1).

3.3. CATEGORIILE DE DATE

Operatorul TRIPLAST din Tirgu Mureș va selecta categoriile de date cu caracter personal. În vederea identificării categoriilor de date cu caracter personal colectate se va avea în vedere Schema de Clasificare a datelor (Anexa 1).

3.4. TIPUL DATELOR

Operatorul TRIPLAST din Tirgu Mureș va selecta tipul de date cu caracter personal. În vederea identificării tipului de date cu caracter personal colectate se va avea în vedere Schema de Clasificare a datelor (Anexa 1).

3.5. SURSA DATELOR                   

Operatorul TRIPLAST din Tirgu Mureș va selecta de unde provin datele personale (ex. sursa de intrare)? Bifaţi cu “X” sursa de intrare a datelor (sunt posibile mai multe opţiuni).

☐ Studenți

☐ Clienţi (PF sau PJ)

☐ Angajaţi

☐ Părţi terţe (furnizori, parteneri, prestatori de servicii)

3.6. METODA DE COLECTARE A DATELOR

Operatorul TRIPLAST din Tirgu Mureș va selecta metoda de colectare a datelor cu caracter personal. Bifaţi cu “X” tipul suport al colectării datelor (sunt posibile mai multe opţiuni).

☐ Fizic (Suport Hârtie)

☐ Poștă/Curier

☐ Fax

☐ E-mail

☐ Portal Web

☐ Formular Online

☐ USB Drive

☐ Hard Drive

☐ CDs/DVDs

☐ Server FTP

☐ Social Media

☐ Call Center

3.7. LOCAŢIA DE TRANSFER URMĂTOARE

Operatorul TRIPLAST din Tirgu Mureș va selecta locaţia de transfer a datelor cu caracter personal. Bifaţi cu “X” locaţia de transfer a datelor (sunt posibile mai multe opţiuni).

☐ Birouri (Dosare)

☐ E-mail Server

☐ Aplicaţii IT (numele aplicaţiilor utilizate)

☐ Baze de Date

☐ Fişiere Electronice

☐ Telefoane Mobile

3.8. LOCAŢIA DE STOCARE                                                                                                                

Operatorul TRIPLAST din Tirgu Mureș va selecta locaţia de stocare a datelor cu caracter personal. Bifaţi cu “X” locaţia de stocare a datelor (sunt posibile mai multe opţiuni).

☐ Birouri (Dosare)

☐ E-mail Server

☐ Aplicaţii IT (numele aplicaţiilor utilizate)

☐ Sistem Generic/Server

☐ Fişiere Electronice

☐ Baze de Date

☐ Server Web

☐ Arhiva Electronică (back-up)

☐ Cloud

3.9. UTILIZAREA DATELOR (Intern)                       

Operatorul TRIPLAST din Târgu Mureș va selecta modalitatea de utilizare a datelor cu caracter personal. Bifaţi cu “X” modalitatea de utilizare (sunt posibile mai multe opţiuni).

☐ Departament

☐ Transfer intern către alt departament

☐ Câţi angajaţi au acces la datele cu caracter personal?

3.10.  TRANSFERUL DATELOR (Extern)                

Operatorul TRIPLAST din Tirgu Mureș va selecta modalitatea de transfer a datelor cu caracter personal. Bifaţi cu “X” modalitatea de transfer (sunt posibile mai multe opţiuni).

☐ Autorităţi

☐ Părţi terţe (furnizori, parteneri, prestatori servicii)

☐ Transfrontalier (în UE/ SEE sau în afara UE/SEE)

3.11. REŢINEREA ŞI ARHIVAREA DATELOR                                                                                   

Operatorul TRIPLAST din Tirgu Mureș va selecta locaţia de reţinere/stocare a datelor. Bifaţi cu “X” locaţia de reţinere/stocare a datelor (sunt posibile mai multe opţiuni).

☐ Birouri (Arhivă)

☐ E-mail Server

☐ Aplicaţii IT (numele aplicaţiilor utilizate)

☐ Sistem Generic/Server

☐ Fişiere Electronice

☐ Baze de date

☐ Server Web

☐ Arhivare Electronică (back-up)

☐ Cloud

3.12. TERMEN DE STOCARE/REŢINERE                                                            

Operatorul TRIPLAST din Tirgu Mureș va completa termenul de stocare/reţinere pentru fiecare temei de prelucrare a datelor cu caracter personal.

☐ Consimţământ

☐ Obligaţie legală

☐ Obligaţie contractuală

☐ Interes public

☐ Autorităţi publice

☐ Protejarea intereselor vitale

☐ Interes legitim

3.13. DISTRUGERE/ŞTERGERE                 

Operatorul TRIPLAST din Tirgu Mureș va completa modalitatea de distrugere/ştergere a datelor cu caracter personal. Bifaţi cu “X” modalitatea de ştergere/distrugere a datelor (sunt posibile mai multe opţiuni).

☐ Coş gunoi

☐ Distrugător de hârtie

☐ Ştergere sisteme informatice               .

Anexa 1: Schema de clasificare a datelor