Procedura GDPR Delfinul

Proiect POCU/227/3/8/118136
Instruirea angajaților implicați în activități de management și

resurse umane prin programe integrate – INSTRUCT–SV
Procedura operațională privind

protecția datelor cu caracter personal
la nivelul firmei SC DELFINUL PROD COM SERV SRL
Mun. Bucuresti, Str. Dionisie Lupu, nr.64-66, Cod

postal: 010458,
Jud. Bucuresti, Tel: 021.312.24.48,
Mail: instruct@egis-romania.com
Facebook: Instruct Sud-Vest
Proiect cofinanțat din Fondul Social European prin Programul Operational Capital Uman 2014-2020
1.0. Scop
Prezenta procedură are scopul de a stabili măsurile tehnice și organizatorice de
gestionare a informaţiei, de înregistrare, prelucrare şi utilizare a datelor cu caracter
personal - așa cum sunt definite de Noul Regulament General privind Protecția
Datelor - Regulamentul (UE) 2016/679 care a intrat în vigoare la data de 25 mai
2018, la nivelul SC Delfinul Prod Com ServSRL
2.0. Domeniul de aplicare

2.2 Procedura se aplică activităţilor de înregistrare, evidență și prelucrare a datelor cu
caracter personal efectuate, în tot sau în parte, prin mijloace automate, precum şi
prelucrării prin alte mijloace decât cele automate a datelor cu caracter personal care
fac parte dintr-un sistem de evidenţă sau care sunt destinate să fie incluse într-un
asemenea sistem.
3.0. Documente de referinţă

3.1 Regulamentul Uniunii Europene nr. 679 din 27 aprilie 2016 privind protecţia
persoanelor fizice în ceea ce priveşte prelucrarea datelor cu caracter personal şi
privind libera circulaţie a acestor date (GDPR)
3.2 Legea privind măsuri de punere în aplicare a Regulamentului (UE) 2016/679 al
Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția
persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și
privind libera circulație a acestor date și de abrogare a Directivei 95/46/EC și alte acte
normative (promulgată în 17 iulie 2018)
3.3 Regulamentul de organizare și funcționare al SC Delfinul Prod Com ServSRL
4.0 Definiţii şi abrevieri

4.1. Definiţii
a) Date cu caracter personal: orice informații privind o persoană fizică identificată sau
identificabilă („persoana vizată”);
Prin urmare datele cu caracter personal reprezintă acele informații care se referă la un
individ. Acea persoană trebuie identificată direct sau indirect prin unul sau mai mulți
identificatori sau factori specifici acelui individ.

postal: 010458,
În concluzie, orice document/fișier care contine date specifice asociate persoanelor
fizice introduce entitatea juridică (IMM, PFA, asociație familială, ONG sau grup
informal) care îl adminsitrează sub incidența GDPR.
Date personale sunt considerate următoarele:
a) Informații de bază: nume și prenume, adrese, numărul de telefon, adresa de
email, data de naștere, locul de naștere, numele de botez al mamei, detalii
despre educație, numărul de buletin sau pașaport, CNP-ul.
b) Date de identificare online cum sunt adresele IP ale celor care accesează
resursele online ale companiei, adresele MAC, locațiile GPS, nume de
utilizator în diverse aplicatii sau date care pot fi obtinute prin cookie-urile
din browser.
c) Informatii care pot identifica individual prin apartenența la diverse
asociații, opinii politice sau credințe religioase sau apartenența la sindicate.
d) Informatii biometrice (carcteristici fizice, fiziologice, comportamentale),
de sănătate (legate de sănătatea fizică sau mentală a unei persoane fizice,
inclusiv prestarea de servicii de asistență medicală) sau genetice
(caracteristicile genetice moștenite sau dobândite care rezultă în special în
urma unei analize a unei mostre de material biologic recoltate de la
persoana în cauză).
e) Înregistrări video, audio sau monitorizări ale activității la birou, inclusiv
monitorizarea accesului la Internet sau din punct de vedere al aplicațiilor
folosite pe stațiile de lucru.
Persoană vizată: o persoană fizică identificabilă este o persoană care poate fi
identificată, direct sau indirect, în special prin referire la un element de identificare,
cum ar fi un nume, un număr de identificare, date de localizare, un identificator
online, sau la unul sau mai multe elemente specifice, proprii identității sale fizice,
fiziologice, genetice, psihice, economice, culturale sau sociale; (Art. 4 din
Regulamentul GDPR)
Prelucrare: orice operațiune sau set de operațiuni efectuate asupra datelor cu caracter
personal sau asupra seturilor de date cu caracter personal, cu sau fără utilizarea de
mijloace automatizate, cum ar fi
- colectarea
- înregistrarea
- organizarea
- structurarea
- stocarea
- adaptarea sau modificarea
- extragere
- consultarea
- utilizarea
- divulgarea prin transmitere, diseminarea, punerea la dispoziție în orice alt mod
- alinierea sau combinarea
- restricționarea
- ștergerea sau distrugerea;

postal: 010458,
Restricționarea prelucrării: marcarea datelor cu caracter personal stocate cu scopul de
a limita prelucrarea viitoare a acestora;
Creare de profiluri: orice formă de prelucrare automată a datelor cu caracter personal
care constă în utilizarea datelor cu caracter personal pentru a evalua anumite aspecte
personale referitoare la o persoană fizică, în special pentru a analiza sau prevedea
aspecte privind:
o performanța la locul de muncă,
o situația economică,
o sănătatea,
o preferințele personale,
o interesele,
o fiabilitatea,
o comportamentul,
o locul în care se află persoana fizică respectivă sau deplasările acesteia;
Pseudonimizare: prelucrarea datelor cu caracter personal într-un asemenea mod încât
acestea să nu mai poată fi atribuite unei anume persoane vizate fără a se utiliza
informații suplimentare, cu condiția ca aceste informații suplimentare să fie stocate
separat și să facă obiectul unor măsuri de natură tehnică și organizatorică care să
asigure neatribuirea respectivelor date cu caracter personal unei persoane fizice
identificate sau identificabile;
Sistem de evidență a datelor: orice set structurat de date cu caracter personal
accesibile conform unor criterii specifice, fie ele centralizate, descentralizate sau
repartizate după criterii funcționale sau geografice;
Operator: persoana fizică sau juridică, autoritatea publică, agenția sau alt organism
care, singur sau împreună cu altele, stabilește scopurile și mijloacele de prelucrare a
datelor cu caracter personal;1
Persoană împuternicită de operator: persoana fizică sau juridică, autoritatea publică,
agenția sau alt organism care prelucrează datele cu caracter personal în numele
operatorului;
Destinatar: persoana fizică sau juridică, autoritatea publică, agenția sau alt organism
căreia (căruia) îi sunt divulgate datele cu caracter personal, indiferent dacă este sau nu
o parte terță2.
Parte terță: o persoană fizică sau juridică, autoritate publică, agenție sau organism
altul decât persoana vizată, operatorul, persoana împuternicită de operator și
persoanele care, sub directa autoritate a operatorului sau a persoanei împuternicite de
operator, sunt autorizate să prelucreze date cu caracter personal;
Consimțământ al persoanei vizate: orice manifestare de voință liberă, specifică,
informată și lipsită de ambiguitate a persoanei vizate prin care aceasta acceptă, printr-
1
atunci când scopurile și mijloacele prelucrării sunt stabilite prin dreptul Uniunii sau dreptul intern, operatorul sau criteriile specifice pentru
desemnarea acestuia pot fi prevăzute în dreptul Uniunii sau în dreptul intern;
2
Cu toate acestea, autoritățile publice cărora li se pot comunica date cu caracter personal în cadrul unei anumite anchete în conformitate cu
dreptul Uniunii sau cu dreptul intern nu sunt considerate destinatari; prelucrarea acestor date de către autoritățile publice respective respectă
normele aplicabile în materie de protecție a datelor, în conformitate cu scopurile prelucrării;
postal: 010458,
o declarație sau printr-o acțiune fără echivoc, ca datele cu caracter personal care o
privesc să fie prelucrate;
Încălcarea securității datelor cu caracter personal: o încălcare a securității care duce,
în mod accidental sau ilegal, la distrugerea, pierderea, modificarea, sau divulgarea
neautorizată a datelor cu caracter personal transmise, stocate sau prelucrate într-un alt
mod, sau la accesul neautorizat la acestea
4.2. Abrevieri
GDPR = General Data Protection Regulation (Regulament General privind Protecția
Datelor) Regulamentul (UE) 2016/679
DP = Date cu caracter personal
F = formular;
MP = management strategic;
MRU = management resurse umane;
Compartiment = serviciu/birou;
Conducătorul compartimentului = manager/director/şef etc.
5.0. Descrierea procedurii

5.1 Reguli generale
a) Legalitatea prelucrării
Conform Articolului 6 din Regulament General privind Protecția Datelor prelucrarea este
legală numai dacă și în măsura în care se aplică cel puțin una dintre următoarele condiții:
(a) persoana vizată și-a dat consimțământul pentru prelucrarea datelor sale cu caracter
personal pentru unul sau mai multe scopuri specifice;
(b) prelucrarea este necesară pentru executarea unui contract la care persoana vizată
este parte sau pentru a face demersuri la cererea persoanei vizate înainte de
încheierea unui contract;
(c) prelucrarea este necesară în vederea îndeplinirii unei obligații legale care îi revine
operatorului;
(d) prelucrarea este necesară pentru a proteja interesele vitale ale persoanei vizate sau
ale altei persoane fizice;
(e) prelucrarea este necesară pentru îndeplinirea unei sarcini care servește unui interes
public sau care rezultă din exercitarea autorității publice cu care este învestit
operatorul;
(f) prelucrarea este necesară în scopul intereselor legitime urmărite de operator sau de o
parte terță, cu excepția cazului în care prevalează interesele sau drepturile și
libertățile fundamentale ale persoanei vizate, care necesită protejarea datelor cu
caracter personal, în special atunci când persoana vizată este un copil.
Trebuie sa existe ce putin un temei de mai sus astfel incat prelucrarea sa fie
legală.

postal: 010458,
Toate temeiurile sut pe pozitie de egalitate, prin urmare consimțământul persoanei
vizate nu este necesar dacă se poate invoca un alt temei, ca executare unui contract,
indeplinirea unei obligatii legale sau chiar un interes legitim.
b) Întocmirea, primirea, păstrarea, accesarea, transmiterea, transportul, utilizarea și
predarea documentelor care conțin date cu caracter personal se face exclusiv în scopul
realizării atribuțiilor de serviciu sau îndeplinirii cerințelor legale și exclusiv de către salariați
instruiți cu privire la regulile de protecție a datelor cu caracter personal.
Instruirea trebuie să includă minim următoarele topici:
 Aspecte relevante din legislația în vigoare (menționată la paragraful 3.0)
 Persoanele ale căror date cu caracter personal sunt înregistrate/prelucrate de firmă
(IMM, AF, PFA, II etc)
 datele cu caracter personal prelucrate - conform F-PO-01.01
 actele care cuprind date cu caracter personal
 documente interne (regulamente, proceduri norme, formulare etc.) cu privire la
protecția datelor cu caracter personal
c) Datele cu caracter personal destinate a face obiectul prelucrării trebuie să fie:
 prelucrate cu bună-credinţă şi în conformitate cu dispoziţiile legale în vigoare;
 adecvate, pertinente şi neexcesive prin raportare la scopul în care sunt colectate şi
ulterior prelucrate
 exacte şi, dacă este cazul, actualizate; în acest scop se vor lua măsurile necesare pentru
ca datele inexacte sau incomplete din punct de vedere al scopului pentru care sunt
colectate şi pentru care vor fi ulterior prelucrate, să fie şterse sau rectificate
 colectate în scopuri determinate, explicite şi legitime3;
 stocate într-o formă care să permită identificarea persoanelor vizate strict pe durata
necesară realizării scopurilor în care datele sunt colectate şi în care vor fi ulterior
prelucrate; stocarea datelor pe o durată mai mare decât cea menţionată, în scopuri
statistice, de cercetare istorică sau ştiinţifică, se va face cu respectarea garanţiilor
privind prelucrarea datelor cu caracter personal, prevăzute în normele care
reglementează aceste domenii, şi numai pentru perioada necesară realizării acestor
scopuri.
5.2 Acțiuni principale
(1) Auditarea modalităților de colectare, prelucrare, stocare și ștergere a datelor cu
caracter personal - evaluează procesele, sistemele, documentele (registrele) și
activitățile organizației pentru:
 Realizarea unei radiografii a firmei, din punct de vedere al personalului,
pentru identificarea părților interesate (stakeholders) și responsabile cu
respectarea politicilor și procedurilor care guvernează prelucrarea datelor cu
caracter personal.
3
prelucrarea ulterioară a datelor cu caracter personal în scopuri statistice, de cercetare istorică sau ştiinţifică nu va fi considerată
incompatibilă cu scopul colectării dacă se efectuează cu respectarea dispoziţiilor prezentei legi, inclusiv a celor care privesc efectuarea
notificării către autoritatea de supraveghere, precum şi cu respectarea garanţiilor privind prelucrarea datelor cu caracter personal, prevăzute
de normele care reglementează activitatea statistică ori cercetarea istorică sau ştiinţifică;
postal: 010458,
 Inventarierea categoriilor de date prelucrate și operațiunilor de prelucrare și
realizarea evidenței activităților de prelucrare4. O cartografiere completă a
acestor date este absolut necesară, fiind foarte important a se stabili pentru
fiecare categorie riscul de a întâmpina o breșă de securitate. Cartografierea
trebuie să acopere următoarele aspecte:
o ce date cu caracter personal dețineți și unde sunt ele localizate
o de unde provin aceste datele cu caracter personal și cine are acces la ele
o care sunt vulnerabilitățile sistemului de date și cum pot fi ele protejate
o cât timp sunt păstrate datele și când pot fi șterse
o de unde pot fi accesate aceste date
o la ce sunt folosite
o suportul pe care sunt stocate datele
o sunt sau nu criptate
o baza legală pentru a deține astfel de date
Anexă:
F-PO-01.01 - model listă categorii de date prelucrate și operațiuni de
prelucrare la nivelul SC Delfinul Prod Com Serv
 Descrierea detaliată a modului actual în care se asigură protecția datelor, cu
scopul de a evalua ce trebuie să fie actualizat sau nou introdus pentru
respectarea cerințelor GDPR - inclusiv necesitatea stabilirii unui
Responsabilul pentru Protecția Datelor (DPO - Data Protection Officer)5
În acest sens se recomandă convocarea unei adunări a factorilor responsabili
și întocmirea unui proces verbal care să valideze demersul de conștientizare a
acestora cu privire la importanța GDPR.
Anexă: F-PO-01.02 - model proces verbal
 Verificarea modalității de solicitare a consimțământului 6 privind prelucrarea
datelor cu caracter personal
Anexă: F-PO-01.03 - model consimțământ
 Cuantificarea resurselor materiale existente și a celor utilizate pentru
gestionarea datelor va oferi o imagine de ansamblu asupra nivelului de
concordanță tehnică cu obiectivele GDPR
După finalizarea auditului procedura se va modifica în sensul eliminării auditului
ca activitate distinctă și cu includerea rezultatelor și concluziilor acestuia.
(2) Definirea scopului în care are loc prelucrarea (pentru ce sunt prelucrate datele)
2.1 SC Delfinul Prod Com Servcolectează, prelucrează şi arhivează (procesează) date
cu caracter personal pentru realizarea obiectului său de activitate, pe perioade stabilite
4
(exemple de date cu caracter personal: adresele de email din bazele de date pentru newslettere, numele și adresa din formularele de
feedback completate de clienți, fotografii de la diferite evenimente organizate de către societate, materiale CCTV, înregistrări de programe
de loialitate, în baza de date a angajaților - REVISAL etc.)
5
Deși companiile cu mai puțin de 250 angajați nu sunt obligate să angajeze/subcontracteze un DPO decât în anumite situații speciale
(prelucrarea pe care o efectuează este susceptibilă să genereze un risc pentru drepturile și libertățile persoanelor vizate, prelucrarea nu este
ocazională sau prelucrarea include categorii speciale de date) este necesar să existe în structura firmei o persoană cu atribuții în domeniul
GDPR, chiar dacă îndeplinește și alte sarcini (ex. managerul general, respunsabilul HR etc.).
6
Consimțământul este definit în Art. 4 pct. 11 din Regulament drept orice manifestare de voință liberă, specifică, informată și lipsită de
ambiguitate a persoanei vizate prin care aceasta acceptă, printr-o declarație sau printr-o acțiune fără echivoc, ca datele cu caracter personal
care o privesc să fie prelucrate;”
postal: 010458,
conform prevederilor legale, pentru realizarea interesului său legitim, pentru
executarea contractelor la care persoanele vizate sunt părţi, ȋn conformitate cu
prevederile legale naţionale şi europene, ȋn interes public.
Motivaţia pentru care SC Delfinul Prod Com Serv colectează date cu caracter
personal ţine de prelucrări ale informaţiilor pe baza cărora să se poată lua decizii
coerente şi corecte în managementul firmei.
Scopul colectării datelor este:
- realizarea obiectului de activitate principal, respectiv activități de cazare, bar-
restaurant, organizare evenimente precum și servicii conexe acestor activități (cum ar
fi concierge, transport pensiune-aeroport etc).
- managementul resurselor umane (încheierea și executarea contractului individual de
muncă, completarea REVISAL, plata salariului prin virament bancar etc.)
- altele: emitre de facturi, contacte cu furnizorii etc.
2.2 Următoarele informații sunt obligatorii (detaliate în F-PO-01.01)
 Organele de conducere (asociații)
 Organele de administrare ale societății
 Salariații
 Furnizorii de utilități/bunuri/servicii
 Clienți - date necesare în vederea încheierii contractului între firmă și client
o numele, prenumele și domiciliul clientului
o semnătura clientului - în cazul contractelor în formă scrisă
o datele menționate în CI-ul clientului (serie și număr CI, CNP-ul, poza
etc)
o fotografii/filmări
2.3 SC Delfinul Prod Com Serv colectează de asemenea o serie de informaţii care nu
au caracter obligatoriu în vederea îmbunătăţirii modului de comunicare cu clienții
precum şi pentru realizarea ulterioară de sondaje statistice (selectarea aleatoare a unui
eşantion şi administrarea unui chestionar relativ la serviciile prestate utilizând
comunicarea prin sistemul poştei electronice.
o datele de contact ale clientului telefon, fax, e-mail
o identificatorii online ai clientului (adresa IP)
o fișierele jurnal (Log files), web - cookies
o datele privind contul bancar al clientului (numărul de cont, monedă,
bancă la care este deschis contul) și date privind sumele plătite de
client pentru achiziționarea bunurilor/serviciilor (nivelul sumelor
plătite, dată la care sunt plătite, natura plăților etc.), atunci când
clientul alege plata prin virament bancar
2.4 Informaţiile colectate sunt destinate utilizării de către SC Delfinul Prod Com Serv
şi sunt comunicate numai următorilor destinatari:
postal: 010458,
o persoana vizată,
o reprezentanţii legali ai persoanei vizate,
o angajaţi cu drept de acces ai SC Delfinul Prod Com Serv
o alte persoane fizice/ juridice care prelucrează datele personale în numele SC
Delfinul Prod Com Serv
(3) Stabilirea temeiurilor în care sunt prelucrate datele pentru fiecare categorie în parte
Pentru ca prelucrarea datelor să fie legală trebuie să fie îndeplinită cel puțin una dintre
condițiile menționate la pagina 4 paragraful 5.1 litera a)
Se va menționa temeiul legal pentru fiecare categorie de date/persoane vizate în parte.
Se vor elabora norme specifice pentru fiecare compartiment care prelucrează date cu
caracter personal
(4) Implementarea/configurarea mijloacelor tehnice ce permit gestionarea datelor cu
caracter personal în conformitate cu prevederile GDPR, ținând cont de volumul de date
colectate, gradul de prelucrare a acestora, perioada de stocare și accesibilitatea acestora.
Aceste mijloace trebuie să asigure cel puțin:
 Obținerea consimțământul explicit
 Disponibilitatea, integritatea și confidențialitatea datelor
 Reziliența sistemelor și a serviciilor de prelucrare
 Siguranța accesului la date și transferului acestora
 Restricționarea prelucrării datelor
 Pseudonimizarea și criptarea datelor
 Urmărirea duratei de viată și ștergerea datelor
 Portabilitatea datelor
 Menținerea evidenței prelucrării datelor
 Ștergera datelor
(5) Testarea și evaluarea periodică a eficienței măsurilor de asigurare a securității datelor
atât din punct de vedere tehnic, cât și din punct de vedere al procedurilor de lucru
implementate în firmă.
6.0. Responsabilităţi
6.1 Persoana desemnată cu atribuții în domeniul GDPR:
(1) stabileste scopul şi mijloacele de prelucrare a datelor cu caracter personal atunci
când acestea sunt necesare pentru exercitarea unor competenţe legale;
(2) asigură elaborarea procedurilor proprii şi, după aprobarea acestora de către
managerul firmei, le pune în aplicare;
(3) asigură implementarea şi monitorizează respectarea normelor procedurale în
materia prelucrării datelor cu caracter personal;

postal: 010458,
(4) coordonează şi monitorizează activitatea personalului pe linia protecţiei datelor cu
caracter personal;
(5) analizează vulnerabilităţile şi riscurile semnalate în sistemul de securitate a
prelucrării datelor cu caracter personal al structurii şi propune măsuri pentru
înlăturarea acestora
(6) alte atribuții - în funcție de particularitățile firmei
7.0 Formulare
7.1. F-PO-01.01 – model listă categorii de date prelucrate și operațiuni de prelucrare;
F-PO-01.02 – model proces verbal desemnare atribuții, activități și termene privind
alinierea la standardele GDPR;
F-PO-01.03 – model consimțământ al persoanei vizate;
F-PO-01.04 – Politica de confidențialitate a firmei SC Delfinul Prod Com Serv SRL;

postal: 010458,

Procedura GDPR Delfinul

Încărcat de

Informații document

Drepturi de autor

Formate disponibile

Partajați acest document

Partajați sau inserați document

Opțiuni de partajare

Vi se pare util acest document?

Este necorespunzător acest conținut?

Drepturi de autor:

Formate disponibile

Procedura GDPR Delfinul

Încărcat de

Drepturi de autor:

Formate disponibile

Proiect POCU/227/3/8/118136

Instruirea angajaților implicați în activități de management și

Procedura operațională privind

Mun. Bucuresti, Str. Dionisie Lupu, nr.64-66, Cod

2.0. Domeniul de aplicare

3.0. Documente de referinţă

4.0 Definiţii şi abrevieri

Mun. Bucuresti, Str. Dionisie Lupu, nr.64-66, Cod

Mun. Bucuresti, Str. Dionisie Lupu, nr.64-66, Cod

5.0. Descrierea procedurii

Mun. Bucuresti, Str. Dionisie Lupu, nr.64-66, Cod

Mun. Bucuresti, Str. Dionisie Lupu, nr.64-66, Cod

Mun. Bucuresti, Str. Dionisie Lupu, nr.64-66, Cod

S-ar putea să vă placă și