Ce este GDPR și de ce contează?
Regulamentul general privind protecția datelor (Regulamentul UE 2016/679, cunoscut ca GDPR) spune cum se colectează, se folosesc și se păstrează datele personale. Se aplică din 25 mai 2018 oricărei organizații care prelucrează date ale persoanelor din Uniunea Europeană, oriunde s-ar afla ea.
Ce sunt datele cu caracter personal?
Orice informație după care poate fi identificată o persoană fizică: numele, adresa de email, telefonul, adresa IP, datele bancare, CUI-ul unui PFA. La facturare, date personale sunt mai ales numele, emailul și telefonul persoanelor de contact și datele clienților persoane fizice.
Principiile fundamentale ale GDPR
GDPR are șapte principii. Pentru o firmă care emite facturi, ele se traduc așa:
Legalitate, echitate și transparență
Prelucrezi datele doar pe un temei legal, fără să le folosești împotriva persoanei, și îi spui ce faci cu ele. La facturare, temeiul este de obicei contractul sau obligația legală.
Limitarea scopului și minimizarea datelor
Colectezi datele pentru un scop clar și nu le folosești apoi la altceva. Ceri doar ce îți trebuie: pentru o factură ai nevoie de nume, adresă și cod fiscal, nu de data nașterii sau de starea civilă.
Exactitate, limitarea stocării, securitate și responsabilitate
Datele trebuie să fie corecte și la zi, păstrate doar cât este nevoie (plus perioadele de arhivare cerute de lege) și protejate împotriva accesului neautorizat, a pierderii sau a distrugerii. Iar toate acestea trebuie să le poți dovedi, dacă ți se cere.
Drepturile persoanelor vizate
Orice persoană ale cărei date le ai îți poate face una dintre cererile de mai jos.
Dreptul de acces și portabilitate
Persoana poate afla dacă îi prelucrezi datele, poate cere o copie a lor și, în unele cazuri, mutarea lor la alt operator. Răspunzi fără întârziere, în cel mult o lună; pentru cererile complexe termenul se poate prelungi cu încă două luni.
Dreptul la rectificare și ștergere
Persoana poate cere corectarea datelor greșite și, în anumite condiții, ștergerea lor. Facturile însă nu le ștergi la cerere: obligația de a le păstra, în general 5 ani conform Legii contabilității nr. 82/1991, are prioritate.
Dreptul la opoziție și restricționare
Persoana se poate opune unei prelucrări și poate cere s-o oprești cât timp îi verifici cererea. O persoană de contact poate cere, de exemplu, să nu mai primească reamintiri de plată; datoria firmei rămâne, dar îi scrii altcuiva.
ANSPDCP, autoritatea de supraveghere din România
Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) urmărește aplicarea GDPR în România: primește plângeri, face controale și aplică amenzi.
Sancțiuni GDPR
Amenzile au două praguri: până la 10 milioane de euro sau 2% din cifra de afaceri mondială pentru încălcarea obligațiilor operatorului și până la 20 de milioane de euro sau 4% pentru încălcarea principiilor sau a drepturilor persoanelor. Amenzile aplicate în România sunt publicate pe dataprotection.ro.
Obligația de notificare
Dacă datele sunt compromise, de exemplu un laptop cu lista clienților este furat, anunți ANSPDCP fără întârziere și, dacă se poate, în cel mult 72 de ore de când ai aflat. Nu este nevoie de notificare când incidentul nu prezintă un risc pentru persoane. Dacă riscul este ridicat, le anunți și pe ele. Orice încălcare a securității datelor personale trebuie documentată, chiar dacă nu se notifică.
Măsuri tehnice și organizatorice
Măsurile de protecție se aleg după risc și după ce fel de date ai.
Măsuri tehnice
- criptarea datelor la transfer (HTTPS) și în baza de date;
- autentificare în doi pași pentru conturile cu acces la date;
- copii de siguranță, cu restaurarea încercată din când în când;
- jurnale de acces și actualizări de securitate aplicate la timp.
Măsuri organizatorice
- reguli interne scrise și instruirea angajaților;
- acces pentru fiecare om doar la datele de care are nevoie în munca lui;
- contracte de prelucrare a datelor cu furnizorii care primesc date de la tine;
- evaluarea impactului (DPIA) pentru prelucrările cu risc ridicat și un DPO, unde legea îl cere.
Registrul activităților de prelucrare
Firmele cu peste 250 de angajați țin obligatoriu un registru al prelucrărilor. Firmele mai mici îl țin și ele dacă prelucrarea nu este ocazională, cum este facturarea lunară, dacă prezintă riscuri sau dacă include date sensibile. Registrul spune ce date ai, de ce, pe ce temei, cât le păstrezi și cui le dai.
InvoiceGuard și conformitatea GDPR
InvoiceGuard prelucrează în numele tău datele clienților pe care le introduci sau le imporți din e-Factura. Iată ce face aplicația și ce rămâne în grija ta.
Ce face InvoiceGuard
Conexiunile sunt criptate cu TLS, iar tokenurile de acces ANAF și datele de acces la procesatorii de plăți sunt criptate în baza de date. InvoiceGuard nu primește parola SPV și nici certificatul tău digital. Autentificarea o face Clerk, iar fiecare cont își vede doar datele lui. Pentru clienți îți cere doar datele de facturare și de contact pentru reamintiri.
Ce poți face tu
Exporți facturile și clienții în CSV, corectezi oricând datele unui client, oprești reamintirile pentru orice factură și îți ștergi contul, cu toate datele lui. Conformitatea rămâne însă a ta, ca operator: InvoiceGuard te ajută să ții datele în ordine, dar nu te face conform în locul tău. Pentru întrebări despre datele tale, scrie la support@invoiceguard.ro.