Date personale
GDPR trebuie să descrie fluxurile reale de date, nu un model generic.
Documentele privacy sunt utile numai dacă reflectă ce face compania: ce date colectează, de ce, prin ce furnizori, unde ajung datele și cine răspunde pentru fiecare flux.
Documente uzuale
Politici de confidențialitate, politici cookies, acorduri de prelucrare a datelor (DPA), clauze cu furnizori, note de informare și evidențe ale activităților de prelucrare. Fiecare document trebuie să reflecte ce face efectiv compania, nu un model generic copiat de pe internet.
Rolurile părților
Înainte de documente, stabilim cine este operator și cine este persoană împuternicită. Calificarea greșită a rolurilor afectează tot restul: instrucțiunile, obligațiile, răspunderea și acordurile cu furnizorii. Într-o relație SaaS, de exemplu, clientul este de regulă operator, iar furnizorul împuternicit.
Proiecte digitale
Website-uri, newsletter, analytics, SaaS, CRM, platforme de marketing, aplicații software și contracte cu procesatori. Pentru produse digitale, documentația privacy ar trebui conectată cu produsul și cu contractele încă din faza de proiectare.
Transferuri și subîmputerniciți
Multe companii folosesc furnizori de hosting, analytics sau suport aflați în afara Uniunii. Transferurile internaționale și lanțul de subîmputerniciți trebuie reglementate și documentate, cu garanțiile aplicabile pentru fiecare flux.
Abordare practică
Începem cu harta fluxurilor de date și construim documentele în jurul operațiunilor reale ale companiei, astfel încât să reziste la întrebările clienților enterprise și ale autorităților.
FAQ
Este necesar un DPA cu fiecare furnizor?
Nu cu fiecare furnizor, ci cu furnizorii care prelucrează date personale ca persoane împuternicite sau în roluri care cer o reglementare contractuală clară.
Google Analytics cere consimțământ?
De regulă, folosirea analytics trebuie analizată împreună cu bannerul de cookies, setările tehnice și informarea utilizatorilor.
Am nevoie de politică de confidențialitate fără o bază de date?
Da, dacă website-ul colectează date prin formulare, analytics sau newsletter. Chiar și fără o bază de date clasică, există prelucrări care trebuie informate corect.
Cine este operator și cine împuternicit?
Operatorul decide scopurile și mijloacele prelucrării; împuternicitul prelucrează în numele operatorului. Rolurile depind de situația concretă și trebuie analizate, nu presupuse.