Studiu de caz: companie de contabilitate
Când ține evidența salariilor pentru clienți, firma de contabilitate prelucrează, de regulă, datele în numele lor, ca persoană împuternicită de operator. Legea nr. 195/2024 cere ca această prelucrare să fie reglementată printr-un contract sau alt act juridic, întocmit în scris (art. 28) și ca datele să fie protejate prin măsuri de securitate adecvate (art. 32). În acest exemplu, lipseau ambele.
Situația
Firmă de contabilitate din Chișinău, cu 40 de clienți. Statele de plată și datele angajaților clienților circulau prin adresele de e-mail personale ale contabililor, iar cu niciun client nu exista un contract care să reglementeze prelucrarea datelor. Fișierele clienților care renunțaseră la servicii rămâneau în aceleași cutii poștale.
Ce lipsea
- 01Cu niciun client nu exista un contract sau alt act juridic care să stabilească obiectul, durata, natura și scopul prelucrării, tipul de date și categoriile de persoane vizate, deși firma prelucra datele salariale în numele clienților. art. 28
- 02Statele de plată, cu IDNP, salarii și certificate de concediu medical, care pot dezvălui date privind sănătatea, circulau prin adrese de e-mail personale, în afara oricărui control al firmei. art. 9 art. 32
- 03Firma nu ținea evidența categoriilor de activități de prelucrare desfășurate în numele fiecărui client, pe care legea o cere și persoanei împuternicite de operator. art. 30
- 04Datele clienților plecați nu erau nici șterse, nici returnate, deși la încetarea serviciilor persoana împuternicită face una dintre acestea, la alegerea operatorului. art. 28
- 05Contabilii nu se angajaseră să respecte confidențialitatea, iar accesul la fișiere nu depindea de clientul la care lucra fiecare. art. 28 art. 29 art. 32
Riscurile
Amendă pentru persoana împuternicită
Obligațiile privind contractul, evidența și securitatea revin și persoanei împuternicite de operator. Încălcarea lor se sancționează cu amenzi de până la 1 000 000 de lei sau, în cazul unei întreprinderi, de până la 1% din cifra totală de afaceri din anul anterior sancționării, luându-se în calcul cea mai mare valoare. Din cuantumul amenzii stabilite se aplică 10% în primul an de la intrarea în vigoare a legii. art. 28 art. 30 art. 32 art. 88 art. 90
Firma poate deveni operator
Dacă stabilește ea însăși scopurile și mijloacele prelucrării, de exemplu folosind datele angajaților clienților în scopuri proprii, firma este considerată operator pentru acea prelucrare și răspunde pentru ea ca orice operator, inclusiv pentru încălcarea principiilor, cu plafonul de 2 000 000 de lei sau 2%. art. 28 art. 88
Despăgubiri cerute de angajații clienților
Un angajat al clientului ale cărui date au ajuns la un destinatar greșit poate cere despăgubiri. Persoana împuternicită răspunde atunci când nu și-a respectat obligațiile specifice sau a acționat în afara instrucțiunilor clientului; când răspund mai mulți, fiecare poate fi obligat la întregul prejudiciu. art. 76
Incidente care rămân neobservate
Persoana împuternicită notifică operatorul fără întârzieri nejustificate după ce ia cunoștință de o încălcare a securității datelor, pentru ca acesta să poată notifica Centrul. Fără control asupra adreselor personale, firma poate nici să nu afle că o cutie poștală a fost compromisă. art. 33
Ce s-a pus în loc
- 01Un acord de prelucrare a datelor semnat cu fiecare client, pentru ca rolul firmei și instrucțiunile clientului să fie stabilite în scris. art. 28
- 02Un spațiu securizat pentru transmiterea fișierelor, în locul adreselor de e-mail personale. art. 32
- 03Evidența activităților de prelucrare desfășurate în numele fiecărui client. art. 30
- 04Reguli interne de securitate, care leagă accesul la fișiere de clienții la care lucrează fiecare contabil. art. 25 art. 32
- 05Angajamente de confidențialitate semnate de contabili și informarea și consilierea echipei. art. 28 art. 29
- 06O regulă privind ștergerea sau returnarea datelor la încetarea colaborării cu un client, stabilită în acordul cu acesta. art. 28
Rezultat
Firma are un acord de prelucrare a datelor semnat cu fiecare client, un spațiu securizat pentru transmiterea fișierelor, evidența activităților desfășurate în numele clienților, reguli interne de securitate și o echipă informată despre obligațiile ei.
Pentru o companie de contabilitate tipică
Pachetul Esențial + lucrări în plus, 12 400 MDL
Este o estimare pentru o organizație tipică din domeniu, cu până la 20 de persoane care lucrează cu datele. Prețul exact depinde de ce faceți cu datele.
Calculați prețul exact →Întrebări frecvente
Întrebări despre acest caz
Firma de contabilitate are nevoie de acordul angajaților clientului?
Nu. Clientul, ca angajator și operator, are propriul temei legal pentru prelucrarea datelor salariale, de regulă o obligație legală care îi revine. Firma prelucrează datele în numele lui și doar conform instrucțiunilor lui, deci nu are nevoie de un temei separat pentru aceeași prelucrare. art. 6 art. 28 art. 29
Putem păstra fișierele clienților într-un serviciu de stocare în cloud?
Doar cu autorizația scrisă, specifică sau generală, a clientului, iar la o autorizație generală firma îl informează despre orice schimbare a furnizorilor, ca să poată formula obiecții. Furnizorul preia aceleași obligații prin contract, iar firma rămâne pe deplin răspunzătoare față de client. Dacă datele sunt stocate într-un stat din afara Spațiului Economic European, se aplică și regulile privind transferurile. art. 28 art. 44
Ce facem cu datele unui client care a renunțat la servicii?
La încetarea serviciilor, firma șterge sau returnează clientului toate datele, la alegerea acestuia, și elimină copiile existente, cu excepția cazului în care actele normative impun stocarea lor. art. 28
Persoana împuternicită de operator trebuie să țină evidența prelucrărilor?
Da. Ea ține o evidență proprie a categoriilor de activități desfășurate în numele fiecărui operator. Scutirea pentru mai puțin de 250 de angajați nu se aplică dacă prelucrarea nu este ocazională, cum este evidența lunară a salariilor, sau dacă include date privind sănătatea. art. 30
Consultație gratuită
Nu știți de unde să începeți?
Cereți o consultație gratuită de 15 minute. Vă spunem ce obligații din Legea nr. 195/2024 vă privesc și ce pași sunt necesari.