Source: https://avocat-alina-szilaghi.ro/chestionar-conformitate/
Timestamp: 2019-05-21 01:28:16+00:00
Document Index: 14261051

Matched Legal Cases: ['articolul 6', 'Articolul 4', 'articolul 4', 'articolul 6', 'articolul 9', 'articolul 7', 'Articolul 4', 'articolul 4', 'articolul 33', 'Articolul 24', 'articolul 25']

Chestionar Conformitate - Avocat Alina Szilaghi
Chestionar Conformitate
DREPTURILE SUBJECTELOR DE DATE CÂND SE PROCESEAZĂ ȘI ACCESEAZĂ INFORMAȚIILE PERSONALE
TRANSFERUL DATELOR CĂTRE PĂRȚILE TERȚE
PIERDERILE DE DATE
EVALUAREA IMPACTULUI PRIVIND PROTECȚIA DATELOR
DATE COMPANIE SI REPREZENTANT
1. Este documentata baza juridica pentru fiecare activitate de prelucrare?*
Organizația ar trebui să mențină un jurnal al fiecărei activități de prelucrare în care se angajează, precum și temeiul juridic corespunzător. Activitatea de prelucrare are un temei juridic valabil numai dacă se aplică una sau mai multe dintre următoarele:
a. persoana vizată oferă un consimțământ valabil;
b. prelucrarea este necesară pentru încheierea sau executarea unui contract;
c. prelucrarea este necesară pentru respectarea unei obligații legale la care este supus controlorul;
d. prelucrarea este necesară pentru a proteja interesele vitale ale persoanei vizate sau ale unei alte persoane;
e. prelucrarea este necesară pentru îndeplinirea unei sarcini în interesul public sau în exercitarea autorității publice oficiale;
f. prelucrarea este necesară în scopul intereselor legitime urmărite de operator sau de un terț, în măsura în care nu încalcă drepturile și libertățile fundamentale ale persoanei vizate, în special în cazul în care persoana vizată este un copil “- articolul 6 alineatul (1) GDPR.
Trebuie să stabiliți baza legală pentru fiecare dintre activitățile dvs. de procesare; fără aceasta, nu veți avea baza legală pentru prelucrarea datelor cu caracter personal. Lipsa unui temei juridic pentru prelucrare este o încălcare gravă a cerințelor UE privind GDPR.
2.	Este documentat scopul pentru fiecare activitate de prelucrare?*
Fiecare activitate de prelucrare ar trebui să fie documentată. “Prelucrarea” este definită ca ” orice operațiune sau set de operațiuni efectuate asupra datelor cu caracter personal sau asupra seturilor de date cu caracter personal, cu sau fără utilizarea de mijloace automatizate, cum ar fi colectarea, înregistrarea, organizarea, structurarea, stocarea, adaptarea sau modificarea, extragerea, consultarea, utilizarea, divulgarea prin transmitere, diseminarea sau punerea la dispoziție în orice alt mod, alinierea sau combinarea, restricționarea, ștergerea sau distrugerea;” – Articolul 4 alineatul (2) GDPR.
3.	Vor fi prelucrate datele cu caracter personal în alt scop decât cel intenționat în momentul colectării?*
Departamentele din cadrul organizației ar trebui să consulte ofițerul / protecția datelor / alte persoane relevante înainte de prelucrarea datelor cu caracter personal pentru un scop secundar. “Date personale” sunt definite ca “orice informații privind o persoană fizică identificată sau identificabilă („persoana vizată”); o persoană fizică identificabilă este o persoană care poate fi identificată, direct sau indirect, în special prin referire la un element de identificare, cum ar fi un nume, un număr de identificare, date de localizare, un identificator online, sau la unul sau mai multe elemente specifice, proprii identității sale fizice, fiziologice, genetice, psihice, economice, culturale sau sociale a acelei persoane fizice “- articolul 4 alineatul (1) GDPR.
Odată ce ați definit un scop pentru procesare, asigurați-vă că rămâneți la el și nu îl schimbați fără a reevalua temeiul juridic.
De exemplu , dacă activitatea de procesare pe care doriți să o modificați se bazează pe un consimțământ existent, înainte de a schimba activitatea de procesare, trebuie să obțineți din nou consimțământul. Asigurați-vă că această prelucrare este, de asemenea, legală – activitatea de procesare are un temei juridic valabil numai dacă se aplică una sau mai multe dintre următoarele:
a.	persoana vizată acordă un consimțământ valabil;
b.	prelucrarea este necesară pentru încheierea sau executarea unui contract;
c.	prelucrarea este necesară pentru respectarea unei obligații legale la care este supusă controlorul;
d.	prelucrarea este necesară pentru a proteja interesele vitale ale persoanei vizate sau ale unei alte persoane;
e.	prelucrarea este necesară pentru îndeplinirea unei sarcini îndeplinite în interesul public sau în exercitarea autorității publice oficiale;
f.	prelucrarea este necesară în scopul intereselor legitime urmărite de operator sau de un terț, în măsura în care nu încalcă drepturile și libertățile fundamentale ale persoanei vizate, în special în cazul în care persoana vizată este un copil “- articolul 6 alineatul (1) GDPR.
4.	Consimțământul - mecanismele de colectare necesită o acțiune sau declarație afirmativă din partea persoanei vizate?*
Pentru ca acordul să fie valabil, acesta ar trebui să fie dat în mod liber, specific, neechivoc și ar trebui să necesite o acțiune afirmativă din partea persoanei vizate. Tăcerea, cutiile pre-bifate, opțiunea de excludere sau inactivitatea nu constituie un consimțământ valabil.
5.	În cazul în care prelucrarea care implică categorii speciale de date se bazează pe consimțământ, se obține consimțământul explicit (de exemplu, în scris sau verbal) de la persoana vizată?*
“Categorii speciale” de date sunt “date cu caracter personal care dezvăluie originea rasială sau etnică, opiniile politice, confesiunea religioasă sau convingerile filozofice sau apartenența la sindicate și prelucrarea de date genetice, de date biometrice pentru identificarea unică a unei persoane fizice, de date privind sănătatea sau de date privind viața sexuală sau orientarea sexuală ale unei persoane fizice”- articolul 9 alineatul (1) GDPR.
6.	Există un proces implementat pentru a răspunde solicitărilor de acces la informații cu privire la un subiect vizat?*
7.	Există un proces implementat pentru rectificarea / ștergerea informațiilor despre un subiect în baza unei cereri?*
8.	Există un proces implementat pentru a comunica actualizările de date cu caracter personal unor terțe părți care au primit datele?*
9.	Există un proces care să permită unui subiect de date să revoce în orice moment consimțământul pentru o anumită activitate de prelucrare?*
(În conformitate cu articolul 7 alineatul (3) din GDPR, revocarea consimțământului ar trebui să fie la fel de facilă pentru persoana vizată ca și acordarea consimțământului.)
10.	Atunci când consimțământul pentru o anumită activitate de prelucrare este revocat, există procese în vigoare pentru a asigura că procesarea este oprită, inclusiv orice prelucrare efectuată de terți?*
11.	Există un proces în vigoare pentru a respecta cererile de restricționare a prelucrării datelor, dacă acestea sunt solicitate de către persoana vizată, inclusiv orice prelucrare efectuată de terți?*
12.	Există un proces în vigoare pentru a se conforma solicitărilor unui subiect de date de a transfera datele personale direct unui alt operator, dacă acest lucru este posibil din punct de vedere tehnic?*
13.	Există un proces pus în aplicare pentru a opri procesarea în scopuri de marketing direct atunci când se primește o obiecție?*
14.	Dacă sunteți implicat în procesul de luare a deciziilor automate, inclusiv în profil, există un proces prin care un subiect poate solicita o revizuire manuală a activității de decizie sau de profilare?*
“Profilarea” este definită ca “orice formă de prelucrare automată a datelor cu caracter personal care constă în utilizarea datelor cu caracter personal pentru a evalua anumite aspecte personale referitoare la o persoană fizică, în special pentru a analiza sau prevedea aspecte privind performanța la locul de muncă, situația economică, sănătatea, preferințele personale, interesele, fiabilitatea, comportamentul, locul în care se află persoana fizică respectivă sau deplasările acesteia”- Articolul 4 (4) GDPR.
15.	A fost desemnat un reprezentant în cadrul Uniunii Europene?*
Ar trebui desemnat un reprezentant al Uniunii Europene în cazul în care organizația oferă bunuri sau servicii persoanelor vizate și care monitorizează comportamentul acestora în interiorul Uniunii Europene. Un “reprezentant” este definit ca “o persoană fizică sau juridică stabilită în Uniune, desemnată în scris de către operator sau persoana împuternicită de operator în temeiul articolului 27, care reprezintă operatorul sau persoana împuternicită în ceea ce privește obligațiile lor respective care le revin în temeiul prezentului regulament” – articolul 4 alineatul (17) GDPR.
16.	Contractele cu terțe părți prevăd că terțul și orice subcontractant care poate fi utilizat trebuie să dispună de clauze / anexe privind protecția și securitatea datelor?*
17.	Sunt înregistrate toate activitățile de procesare pe care compania dvs. le desfășoară?*
Această cerință nu se aplică în cazul în care compania dvs. are mai puțin de 250 de persoane, cu excepția cazului în care activitățile dvs. de prelucrare ar putea genera un risc ridicat pentru drepturile persoanei vizate sau ar implica categorii speciale / sensibile de informații.
18.	Sunt documentate toate transferurile de date, inclusiv transferurile transfrontaliere?*
19.	Există un mecanism de transfer de date în cazul transferării datelor cu caracter personal unei țări terțe sau unei organizații internaționale?*
20.	Există o notificare privind confidențialitate a datelor care este oferită persoanelor vizate cel mai târziu până la momentul colectării informațiilor de la persoanele vizate?*
21.	Există o notificare de confidențialitate a datelor oferită persoanelor vizate la fiecare pas în procesul de colectare?*
22.	Dacă datele urmează a fi procesate pentru un scop secundar, sunt persoanele vizate notificate despre noul scop înainte de prelucrare?*
23.	Notificarea de confidențialitate a datelor specifică clar modul în care persoanele vizate își pot exercita drepturile în temeiul GDPR?*
24.	Există un proces în vigoare pentru a se asigura că Autoritatea de supraveghere competentă este notificată în termen de 72 de ore de la o încălcare confirmată a securității datelor?*
25.	Acordurile / contractele cu terțe părți specifică faptul că terța parte trebuie să vă notifice (controlorul) fără întârzieri nejustificate după ce a luat la cunoștință despre o încălcare a datelor sau o potențială încălcare a datelor care implică date cu caracter personal? *
Toate contractele cu terțe părți care implică prelucrarea datelor cu caracter personal ar trebui să includă dispoziții care să vă anunțe (controlorul) în cazul unei încălcări a datelor.
26.	Sunt implementate politici interne care definesc ceea ce se consideră a fi o încălcare a datelor și când și dacă este necesară notificarea persoanelor vizate sau a autorităților de supraveghere?*
Politicile interne ar trebui să precizeze ce reprezintă o încălcare a datelor în cadrul GDPR și ce tipuri de scenarii ar putea să ducă la un “risc pentru drepturile și libertățile” unei persoane, obligând astfel la notificarea autorităților relevante sau a persoanelor vizate.
27.	Este păstrat un istoric al tuturor încălcărilor datelor care apar, împreună cu efectele și acțiunile de remediere luate?*
GDPR cere operatorului să documenteze toate încălcările de date care apar pentru a demonstra conformitatea cu articolul 33 alineatul (5): ” Operatorul păstrează documente referitoare la toate cazurile de încălcare a securității datelor cu caracter personal, care cuprind o descriere a situației de fapt în care a avut loc încălcarea securității datelor cu caracter personal, a efectelor acesteia și a măsurilor de remediere întreprinse. Această documentație permite autorității de supraveghere să verifice conformitatea cu prezentul articol. “
28.	Sunt evaluările activităților de prelucrare efectuate de personalul relevant pentru a determina măsurile de protecție a datelor care ar trebui să fie în vigoare, proporționale cu riscurile asociate activității de prelucrare?*
“Ținând seama de natura, domeniul de aplicare, contextul și scopurile prelucrării, precum și de riscurile cu grade diferite de probabilitate și gravitate pentru drepturile și libertățile persoanelor fizice, operatorul pune în aplicare măsuri tehnice și organizatorice adecvate pentru a garanta și a fi în măsură să demonstreze că prelucrarea se efectuează în conformitate cu prezentul regulament. Respectivele măsuri se revizuiesc și se actualizează dacă este necesar.” – Articolul 24 alineatul (1) din GDPR.
29.	Este confidențialitatea evaluată la începutul etapelor de dezvoltare a oricărei activități de prelucrare?*
30.	Sunt implementate măsuri precum minimizarea datelor și pseudonimizarea în cadrul tuturor unităților organizaționale aplicabile?*
“Având în vedere stadiul actual al tehnologiei, costurile implementării, și natura, domeniul de aplicare, contextul și scopurile prelucrării, precum și riscurile cu grade diferite de probabilitate și gravitate pentru drepturile și libertățile persoanelor fizice pe care le prezintă prelucrarea, operatorul, atât în momentul stabilirii mijloacelor de prelucrare, cât și în cel al prelucrării în sine, pune în aplicare măsuri tehnice și organizatorice adecvate, cum ar fi pseudonimizarea, care sunt destinate să pună în aplicare în mod eficient principiile de protecție a datelor, precum reducerea la minimum a datelor, și să integreze garanțiile necesare în cadrul prelucrării, pentru a îndeplini cerințele prezentului regulament și a proteja drepturile persoanelor vizate. ” – articolul 25 alineatul (1) GDPR.
31.	Evaluările impactului privind protecția datelor sunt completate pentru activitățile de procesare care implică categorii speciale de informații, luarea de decizii automate sau profilarea?*
32.	Evaluările impactului privind protecția datelor sunt implementate înainte de implementarea noilor tehnologii, procese sau proiecte?*
Cos Postal
DATE REPREZENTANT COMPANIE
Formularul a fost trimis
%NAME% va multumim pentru trimiterea acestui chestionar.
Am primit raspunsul dvs. Puteti sa il vizualizati la linkul de mai jos:
%TRACK_LINK%.
Solicitarea dumneavoastra este in curs de procesare