RGPD.
Prelucrați legal datele cu caracter personal, protejați drepturile și demonstrați implementarea în mod trasabil.
- Regulamentul (UE) 2016/679 · BDSG
- De Derya Altinay
- Actualizat la: 22.10.2026
- Timp de lectură: 9 min.
Răspuns pe scurt.
RGPD reglementează prelucrarea datelor cu caracter personal în domeniul european de aplicare. Întreprinderile au nevoie de temeiuri juridice adecvate, informații transparente, proceduri pentru drepturile persoanelor vizate și măsuri de protecție proporționale cu riscurile. Conform art. 5 RGPD, operatorii trebuie să poată demonstra respectarea principiilor. Persoanele împuternicite au obligații proprii și sprijină operatorul în îndeplinirea acestora.
RGPD: protecția datelor depășește securitatea IT.
Regulamentul general privind protecția datelor este drept UE direct aplicabil pentru protecția persoanelor fizice în ceea ce privește prelucrarea datelor lor cu caracter personal. Regulamentul (UE) 2016/679 se aplică din 25 mai 2018; GDPR este abrevierea sa în engleză. În Germania, Legea federală privind protecția datelor și dispozițiile sectoriale completează în special cadrul european.
RGPD întreabă mai întâi dacă și în ce scop este permisă o prelucrare. O bază de date sigură nu răspunde încă dacă informațiile colectate sunt necesare sau cât timp pot fi păstrate. Art. 5 și 6 RGPD corelează principiile și temeiurile juridice; art. 32 privește, în acest cadru, securitatea prelucrării.
Protecția datelor rămâne o sarcină continuă, deoarece scopurile, fluxurile de date și serviciile utilizate se schimbă. Conform art. 24 RGPD, operatorul trebuie să ia măsuri adecvate, să le verifice caracterul corespunzător și să le actualizeze, dacă este necesar. Un document completat o singură dată nu înlocuiește această evaluare continuă.
Căror întreprinderi li se aplică RGPD.
Conform art. 2, RGPD se aplică prelucrării datelor cu caracter personal vizate acolo, indiferent dacă o întreprindere este mare sau mică. Acestea includ, de exemplu, datele clienților, dosarele de candidatură sau conținuturile de asistență cu caracter personal. Și datele pseudonimizate rămân cu caracter personal dacă o persoană poate fi identificată cu informații suplimentare; informațiile cu adevărat anonime se încadrează diferit.
Domeniul teritorial de aplicare rezultă din art. 3 RGPD. Pe lângă prelucrările din cadrul unui sediu din UE, pot fi vizate anumite oferte adresate persoanelor din UE sau monitorizarea comportamentului lor de către întreprinderi din afara UE. Simpla locație a serverului sau accesibilitatea unui site nu decide singură acest lucru.
Rolul se stabilește pentru activitatea concretă: operatorii decid scopurile și mijloacele, iar persoanele împuternicite prelucrează date în numele lor. O organizație poate avea roluri diferite în funcție de activitate. Art. 26 și 28 RGPD cer aranjamente potrivite pentru operatorii asociați, respectiv pentru prelucrarea de către persoane împuternicite; simplul titlu al contractului nu clarifică rolul real.
Cerințele RGPD pentru întreprinderi.
Cerințele RGPD corelează deciziile juridice cu operarea efectivă a prelucrării. Șapte domenii de lucru oferă orientare; obligațiile speciale suplimentare depind de rol, date, activitate și riscurile pentru persoanele vizate.
Stabiliți principiile și temeiurile juridice.
Art. 5 și 6 RGPD cer o prelucrare legală, limitată la scop și trasabilă. Limitați datele și păstrarea la ceea ce este necesar și mențineți informațiile exacte. Consimțământul este un posibil temei juridic; condițiile sale nu pot fi omise, la fel ca cele ale altor temeiuri juridice.
Asigurați transparența și drepturile persoanelor vizate.
Art. 12–22 RGPD privesc informațiile inteligibile și drepturi precum accesul, rectificarea sau ștergerea. Drepturile au condiții și excepții diferite. Responsabilitățile, căutarea datelor, verificarea identității și răspunsul sigur trebuie corelate; o simplă informare privind protecția datelor nu soluționează încă o cerere.
Organizați responsabilitatea și prestatorii.
Art. 24–30 RGPD stabilesc obligații organizatorice, protecția datelor din faza de proiectare, roluri și evidențe. Prelucrarea de către persoane împuternicite conform art. 28 cere, pe lângă o bază contractuală potrivită, garanții suficiente din partea prestatorului. Subcontractanții utilizați efectiv și traseele datelor trebuie incluse în evaluare, nu doar condițiile contractuale generale.
Transformați art. 32 RGPD în măsuri tehnice și organizatorice eficace.
Măsurile tehnice și organizatorice trebuie să creeze un nivel de securitate corespunzător riscului. Art. 32 RGPD ia în considerare contextul prelucrării, stadiul tehnicii, costurile și probabilitatea și gravitatea posibilelor consecințe pentru oameni. În funcție de risc, acestea includ protecția accesului, criptarea, capacitatea de restabilire și verificarea periodică a eficacității; o listă universală fixă nu este suficientă.
Verificați riscurile speciale și consilierea.
O evaluare a impactului asupra protecției datelor conform art. 35 RGPD este necesară înaintea unei prelucrări atunci când aceasta este susceptibilă să genereze un risc ridicat pentru drepturi și libertăți. Verificați și condițiile privind responsabilii cu protecția datelor conform art. 37 și, complementar, § 38 BDSG. Funcția de consiliere nu înlocuiește responsabilitatea pentru prelucrare.
Evaluați și notificați încălcările securității datelor.
Art. 33 RGPD cere, în principiu, notificarea autorității de supraveghere competente, exceptând cazul în care încălcarea nu este susceptibilă să genereze un risc pentru drepturi și libertăți. Art. 34 reglementează separat informarea persoanelor vizate atunci când este probabil un risc ridicat. Persoanele împuternicite informează operatorul fără întârziere; documentarea incidentelor rămâne o obligație distinctă.
Protejați separat transferurile către țări terțe.
Capitolul V RGPD impune cerințe suplimentare pentru transferurile către țări terțe. Verificați destinatarii reali, accesul și mecanismul de transfer relevant. Un transfer permis nu înlocuiește nici temeiul juridic al prelucrării, nici celelalte obligații de protecție a datelor; nici găzduirea în UE nu răspunde tuturor întrebărilor privind accesul extern.
Implementarea RGPD ca proces continuu.
Delimitați prelucrările și rolurile.
Ca prim pas practic, identificați scopurile, persoanele vizate, datele, sistemele și destinatarii unei activități concrete și clarificați cine răspunde pentru fiecare decizie.
Verificați legalitatea și informarea.
Evaluați temeiurile juridice, necesitatea și păstrarea și comparați prelucrarea efectivă cu informațiile furnizate persoanelor vizate.
Evaluați riscurile și obligațiile speciale.
Verificați riscurile pentru oameni și condițiile privind evaluarea impactului, responsabilii cu protecția datelor, prelucrarea de către persoane împuternicite și transferurile către țări terțe înainte de introducerea sau modificarea semnificativă a prelucrării.
Implementați și verificați măsurile.
Corelați deciziile juridice și organizatorice cu măsuri tehnice potrivite și verificați dacă, de exemplu, regulile de acces, ștergerea și restabilirea funcționează în serviciul analizat.
Pregătiți practic drepturile și incidentele.
Exersați cum sunt recunoscute, escaladate, evaluate și soluționate la termen cererile și încălcările securității datelor, inclusiv transferul responsabilităților între întreprinderi și prestatori.
Actualizați documentația odată cu schimbările.
Actualizați deciziile și dovezile la schimbarea scopurilor, destinatarilor sau riscurilor și stabiliți cine urmărește măsurile deschise și declanșează următoarea revizuire.
Dovezile RGPD și certificarea voluntară.
Conform art. 5 alin. 2 RGPD, responsabilitatea înseamnă capacitatea de a explica și demonstra respectarea principiilor. Documentele potrivite pot include evidențe ale prelucrărilor, temeiuri juridice justificate, contracte, informări privind protecția datelor, evaluări ale impactului și verificări ale măsurilor de protecție. Decisiv este dacă reflectă prelucrarea reală și arată ce decizie a fost luată și pe ce bază.
Autoritatea de supraveghere a protecției datelor are competențe de investigare și corectare conform art. 58 RGPD. Documentația ar trebui, așadar, să fie ușor de găsit, inteligibilă și actuală. Regulamentul nu instituie o obligație generală de certificare prin care o întreprindere și-ar putea încheia definitiv întreaga activitate de protecție a datelor; responsabilitatea rămâne la operator și la participanții obligați în fiecare caz.
Certificarea conform art. 42 RGPD este voluntară și privește operațiuni de prelucrare pe baza unor criterii aprobate. Conform alin. 4, nu reduce responsabilitatea legală; alin. 7 îi limitează durata la maximum trei ani, cu posibilitatea prelungirii. Un certificat de securitate a informației nu reprezintă automat o astfel de certificare privind protecția datelor.
Decizia de notificare a unei încălcări a securității datelor trebuie demonstrată separat. Art. 33 prevede notificarea fără întârziere și, dacă este posibil, în cel mult 72 de ore de la luarea la cunoștință, dacă nu se aplică excepția privind riscul. Documentația conform alin. 5 cuprinde și încălcările nenotificate; informarea conform art. 34 urmează propriul prag de risc și excepțiile prevăzute acolo.
Continuați lectura pe blog.
- RGPD și securitateaCorelați prelucrările, evaluarea juridică și măsurile de protecție în activitatea operațională.
- Verificați prelucrarea de către persoane împuterniciteComparați angajamentele contractuale cu traseele efective ale datelor prestatorului.
- Notificați încălcarea securității datelorPregătiți mai detaliat evaluarea incidentului, decizia de notificare și documentarea.
- Soluționați cererile de accesOrganizați cercetarea, verificarea și transmiterea sigură a unui răspuns la cererea de acces.
RGPD și alte cadre de referință.
ISO 27001 sprijină organizarea securității informației, dar nu înlocuiește verificarea temeiurilor juridice și a drepturilor persoanelor vizate. NIS2 are destinatari și obligații de raportare proprii; un incident poate necesita evaluări separate conform ambelor cadre juridice. Regulamentul UE privind IA completează cerințele pentru anumite sisteme de IA, fără a înlocui analiza protecției datelor pentru prelucrările cu caracter personal.
În Secani.
Secani oferă un profil de protecție a datelor pentru roluri, contextul prelucrării și transferuri, precum și un catalog propriu de verificare RGPD. Profilul consemnează datele întreprinderii și sprijină evaluarea structurată a situației existente. Evaluarea de specialitate a prelucrării efective și a legalității sale rămâne o sarcină distinctă; profilul nu este o aprobare a autorității și nici o verificare juridică automată.
Pasul următor.
Începeți cu o prelucrare clar delimitată, de exemplu soluționarea solicitărilor de asistență. Descrieți scopul, datele, persoanele vizate, serviciile implicate și destinatarii și verificați împreună cu specialiștii responsabili temeiul juridic potrivit. Consemnați apoi ce măsuri de protecție și proceduri privind drepturile și incidentele sunt efectiv necesare.
Surse.
- Regulamentul (UE) 2016/679: Regulamentul general privind protecția datelor
- BfDI: RGPD – BDSG, Info 1, versiunea din martie 2026
- Comisia Europeană: domeniul de aplicare și rolurile RGPD
- Comisia Europeană: principiile prelucrării
- Comisia Europeană: obligațiile întreprinderilor
- CEPD: securitatea datelor cu caracter personal
- CEPD: încălcările securității datelor
- CEPD: drepturile persoanelor vizate
- § 38 BDSG: responsabilii cu protecția datelor ai organismelor nepublice
Întrebări frecvente.
Nu. Art. 6 RGPD prevede temeiuri juridice diferite, cu condiții proprii. Temeiul aplicabil depinde de scopul și situația concretă; cerințele suplimentare, de exemplu pentru categorii speciale de date, trebuie verificate separat.
Nu. Conform art. 33 RGPD, notificarea autorității de supraveghere poate fi omisă dacă încălcarea nu este susceptibilă să genereze un risc pentru drepturi și libertăți. Încălcarea trebuie totuși documentată; informarea persoanelor vizate conform art. 34 se evaluează separat.
Nu. Un SMSI poate sprijini securitatea prelucrării, dar nu răspunde automat întrebărilor privind temeiul juridic, transparența sau drepturile persoanelor vizate. Domeniul său de aplicare și prelucrarea efectivă trebuie verificate separat.
Da, dacă prelucrarea lor intră în domeniul material și teritorial de aplicare. Dimensiunea întreprinderii nu creează singură o excepție generală; anumite obligații depind de condiții suplimentare.
Organizați protecția datelor în mod trasabil.
Descoperiți profilul de protecție a datelor și catalogul propriu RGPD din Secani.
Această pagină oferă o prezentare generală și nu înlocuiește analiza juridică a cazului individual. Dispozițiile juridice în vigoare și prelucrarea concretă sunt decisive.