Solutiile GDPR standardizate nu inseamna automat conformitate
Respectarea GDPR nu inseamna doar existenta unor politici, proceduri, informari, registre sau clauze contractuale privind protectia datelor. Aceste documente sunt importante, insa trebuie sa reflecte activitatea reala a organizatiei si sa fie integrate in modul efectiv de lucru. Un document preluat dintr-un model standard poate contine toate elementele necesare din punct de vedere formal si, totusi, sa nu raspunda situatiei concrete a organizatiei pentru care este utilizat.
GDPR impune operatorilor sa adopte masuri tehnice si organizatorice adecvate fiecarui proces de prelucrare si particularitatilor organizatiei, astfel incat riscurile asociate prelucrarii sa fie identificate si gestionate corespunzator. Din aceasta perspectiva, o solutie standardizata, aplicata in mod identic unor organizatii sau procese diferite, nu poate raspunde in mod automat cerintelor GDPR. Problema nu este existenta unui model acesta poate reprezenta un punct de pornire. Problema apare atunci cand documentul standardizat este tratat ca solutie finala, fara analiza proceselor, riscurilor si particularitatilor organizatiei.
Documentatia GDPR nu este acelasi lucru cu implementarea GDPR
O organizatie poate avea o politica de protectia datelor, proceduri interne, informari, DPIA sau registru al activitatilor de prelucrare dar aceste documente nu demonstreaza singure ca prelucrarile sunt conforme. Documentatia trebuie sa descrie ceea ce se intampla in realitate, iar masurile prevazute in documente trebuie sa fie efectiv aplicate.
Daca o procedura stabileste ca accesul la anumite date este permis doar unui numar limitat de persoane, dar in practica au acces mai multe persoane, existenta procedurii nu elimina neconformitatea. Daca o informare indica anumite scopuri ale prelucrarii, iar datele sunt utilizate si in alte scopuri, documentul existent nu acopera aceasta utilizare.
La fel, introducerea unei tehnologii noi – de exemplu un sistem GPS, un sistem de supraveghere video sau un sistem de pontaj biometric – presupune analiza prelucrarii concrete si a riscurilor asociate, nu doar aplicarea unei proceduri generale existente.
Riscurile solutiilor standardizate – exemple concrete
O procedura existenta nu inseamna ca practica este conforma existenta documentatiei nu este suficienta daca modul concret de implementare nu corespunde principiilor GDPR.
Supravegherea video este un exemplu foarte clar. O organizatie poate avea o informare privind utilizarea camerelor si poate documenta formal scopurile prelucrarii, insa acest lucru nu inseamna ca orice amplasare sau utilizare a camerelor este justificata.
Intr-o investigatie finalizata in 2021, ANSPDCP (comunicat ↗) a constatat ca imaginea angajatilor era prelucrata in mod excesiv prin camere de supraveghere instalate in spatii cu destinatia de vestiare si in zona destinata servirii mesei. Autoritatea a apreciat ca scopul declarat putea fi realizat prin mijloace mai putin intruzive si a dispus, printre altele, reanalizarea unghiului de captare a imaginilor.
Un document standard poate sa nu surprinda modul real de utilizare a unei tehnologii
Monitorizarea angajatilor prin sisteme GPS este un alt exemplu relevant. Scopul, necesitatea, frecventa colectarii, perioadele in care vehiculul poate fi utilizat, datele colectate, perioada de stocare si accesul la informatii trebuie analizate in functie de situatia concreta.
In Romania, autoritatea de supraveghere a constatat in mai multe cazuri ca modul de documentare si implementare a acestor prelucrari nu respecta cerintele GDPR, inclusiv in ceea ce priveste informarea, temeiul legal, proportionalitatea monitorizarii sau perioada de stocare a datelor. Intr-un caz (comunicat ANSPDCP ↗), datele de localizare erau prelucrate si in afara orelor de serviciu, iar operatorul nu demonstrase ca fusesera epuizate metode mai putin intruzive. Intr-un alt caz (comunicat ANSPDCP↗), prelucrarea datelor GPS a continuat si dupa incetarea raportului de munca.
Situatii similare au fost constatate si in alte state din SEE. In Slovenia (comunicat comunicat autoritatea slovena↗), autoritatea a dispus oprirea prelucrarii datelor de localizare ale angajatilor prin monitorizare GPS continua, sistematica si automata, considerand ca masura era disproportionata in raport cu scopul urmarit. In Italia (comunicat GPDP↗), intr-un caz din 2026, autoritatea a penalizat monitorizarea angajatilor prin sisteme instalate pe vehiculele companiei, care colectau informatii despre deplasarile de serviciu si private, inclusiv kilometrii parcursi, consumul si stilul de conducere, atat in timpul deplasarilor de serviciu, cat si in timpul unor deplasari private.
Tehnologia noua poate necesita o analiza diferita
Acelasi principiu este valabil atunci cand organizatia schimba tehnologia utilizata. Natura datelor prelucrate, scopul, necesitatea si riscurile se modifica, iar analiza GDPR trebuie sa tina cont de aceste modificari.
In septembrie 2026, autoritatea din Romania (comunicat ANSPDCP↗) a penalizat un operator care utiliza un sistem de pontaj si control al accesului bazat pe amprente digitale, ca erau prelucrate date biometrice ale angajatilor pentru controlul accesului si evidenta timpului de munca fara existenta unui temei legal corespunzator conditiilor prevazute de art. 9 GDPR. Autoritatea a retinut si incalcarea principiului reducerii la minimum a datelor.
Aceeasi documentatie nu poate fi aplicata identic tuturor organizatiilor
In situatii diferite, documentatia trebuie sa reflecte realitatea concreta. In experienta noastra implementand GDPR am observat ca doua organizatii pot avea activitati aparent similare, dar procesele de prelucrare a datelor pot fi foarte diferite. Spre exemplu un sistem GPS poate fi utilizat intr-o organizatie exclusiv pentru localizarea vehiculelor in timpul programului de lucru, in timp ce o alta organizatie poate permite utilizarea autoturismelor si in scop personal.
Chiar si in cadrul aceleiasi organizatii, documentele si informatiile solicitate la angajare pot fi justificate si proportionale pentru un anumit post, dar excesive, intruzive si neconforme cu GDPR pentru un altul, daca nu sunt necesare in raport cu atributiile si responsabilitatile acestuia. Totodata, un sistem de supraveghere video poate fi necesar intr-un anumit spatiu, dar excesiv intr-un altul, in functie de scopul urmarit si de caracteristicile spatiului. Tocmai de aceea, o solutie standard nu poate fi implementata in mod identic in toate situatiile.
De aceea, conformitatea GDPR nu poate fi redusa la completarea unor documente dupa un model. Este necesara intelegerea proceselor, identificarea riscurilor, stabilirea responsabilitatilor si verificarea modului in care masurile stabilite sunt aplicate in practica.
Ce ar trebui sa verifice conducerea unei organizatii?
Inainte de a considera ca documentatia GDPR este suficienta, conducerea organizatiei ar trebui sa poata raspunde cel putin la cateva intrebari:
- Documentele existente se aplica modului in care organizatia prelucreaza datele in prezent?
- Au fost identificate toate procesele relevante de prelucrare?
- Pentru fiecare proces au fost analizate scopul, categoriile de date, persoanele vizate, temeiul legal si riscurile?
- Masurile tehnice si organizatorice sunt adecvate riscurilor identificate?
- Procedurile existente sunt cunoscute si aplicate de persoanele responsabile?
- Documentatia este actualizata atunci cand se schimba procesele, sistemele informatice, furnizorii sau tehnologiile utilizate?
Daca raspunsul la aceste intrebari nu este afirmativ, documentatia GDPR trebuie aliniata realitatii din organizatie si modului efectiv in care sunt desfasurate prelucrarile de date.
Solutii adaptate, nu documente completate dupa un model
Un model poate ajuta la structurarea documentatiei si poate reprezenta un punct de pornire dar valoarea unei solutii GDPR nu rezulta din numarul documentelor existente, ci din masura in care acestea reflecta procesele reale si contribuie la gestionarea efectiva a riscurilor.
O implementare eficienta trebuie sa porneasca de la organizatie: activitatea desfasurata, procesele existente, datele prelucrate, sistemele utilizate, persoanele implicate, furnizorii, riscurile identificate si masurile necesare.
Documentatia GDPR trebuie sa urmeze realitatea organizatiei, nu realitatea sa fie adaptata documentatiei. Din acest motiv, expertii GDPR CENTER construiesc solutii adaptate fiecarei organizatii, nu livreaza solutii tipizate si standardizate.