Protecția datelor cu caracter personal – provocări și soluții pentru companiile de pază și protecție

Pentru a clarifica și consolida responsabilitățile companiilor și organizațiilor de orice fel în acest domeniu, în 25 mai 2018, a intrat în vigoare Regulamentul General privind Protecția Datelor (GDPR), completat la nivel național de LEGEA nr. 190 din 18 iulie 2018, privind privind măsuri de punere în aplicare a Regulamentului (UE) 2016/679, adică măsurile necesare implementării corespunzătoare în România. Această legislație combinată impune companiilor de pază și protecție să desemneze un responsabil cu protecția datelor (DPO), care supraveghează permanent respectarea regulilor și asigură aplicarea măsurilor adecvate pentru protejarea datelor cu caracter personal.

Fiind companii care prestează servicii pentru beneficiari externi, companiile de pază și protecție acționează în calitate de „persoane împuternicite de operator”. În această poziție, ele trebuie să respecte reguli stricte și proceduri clare, pentru a garanta prelucrarea sigură și conformă a datelor colectate în numele clienților lor. În articolul acesta voi prezenta ce implică aceste roluri, cu ce provocări și cum pot fi abordate eficient în practică.

1. Ce este un DPO (Responsabil cu Protecția Datelor)…

Dacă până acum câțiva ani DPO (Data Protection Officer) sau, în limba română,  “responsabil cu protecţia datelor” părea doar o altă denumire complicată, în prezent, acesta a devenit esențial și tot mai familiar pentru majoritatea organizațiilor și/sau companiilor. Un DPO este, simplu spus, persoana care veghează ca datele personale ale clienților, angajaților sau partenerilor de afaceri să fie gestionate în mod corect, sigur și conform legislației în vigoare.

În contextul companiilor de pază și protecție, activitatea unui DPO este extrem de importantă, având în vedere că aceste companii prelucrează zilnic diverse tipuri de date personale sensibile. DPO-ul trebuie să fie un expert în protecția datelor și să aibă o bună cunoaștere a legislației europene (GDPR) și naționale (precum LEGEA nr. 190 din 18 iulie 2018, care detaliază implementarea GDPR în România). Concret, conform articolelor 37-39 din GDPR, DPO-ul monitorizează permanent respectarea regulamentului, oferă consultanță și sprijin managementului companiei și colaborează îndeaproape cu autoritățile responsabile.

La un nivel mai avansat, DPO-ul trebuie să înțeleagă și să analizeze complexitatea fluxurilor de date din companie, să evalueze riscurile privind protecția daatelor cu caracter personal și să stabilească măsuri clare pentru a evita incidentele ce implică date cu caracter personal. Mai mult decât atât, DPO are și un rol preventiv, informând și instruind periodic angajații cu privire la modul corect de gestionare și protecție a datelor cu caracter personal.

O întrebare frecventă este cine poate ocupa această poziție? Ei bine, DPO-ul poate fi un angajat intern al companiei sau poate fi externalizat către un consultant specializat. Indiferent cine îndeplinește acest rol, independența și obiectivitatea sa sunt obligatorii – tocmai pentru a putea evalua și raporta transparent orice eventuală încălcare sau vulnerabilitate identificată.

2. Specificul activității unei companii de pază și protecție și obligația numirii unui DPO…

Activitățile companiilor de pază și protecție sunt, prin definiție, unele specializate și esențiale pentru siguranța obiectivelor, bunurilor și valorilor, precum și pentru protejarea persoanelor împotriva amenințărilor și acțiunilor ilicite. Fie că vorbim despre paza unui obiectiv strategic, despre supravegherea video într-un centru comercial sau despre protecția fizică a unor persoane, aceste companii operează cu un volum semnificativ de date cu caracter personal. Acestea pot include imagini video captate de sistemele de supraveghere, date de identificare ale angajaților sau vizitatorilor, înregistrări ale accesului în clădiri și chiar date biometrice, în cazul utilizării unor sisteme avansate de control al accesului.

De ce este obligatorie numirea unui DPO în cadrul companiilor de pază și protecție?

Conform Regulamentului General privind Protecția Datelor (GDPR) și Legii nr. 190/2018, companiile de pază și protecție sunt obligate să desemneze un Responsabil cu Protecția Datelor (DPO), deoarece:

1. Monitorizează sistematic și pe scară largă persoanele fizice– Supravegherea video, controlul accesului și patrularea perimetrelor sunt activități continue, care presupun colectarea și gestionarea datelor personale ale unui număr mare de persoane.
2. Prelucrează date sensibile pentru beneficiari– În calitate de persoană împuternicită de operator, companiile de pază și protecție procesează aceste date în numele clienților lor (operatorii), ceea ce implică responsabilități stricte privind securitatea și confidențialitatea acestora.
3. Se confruntă cu riscuri ridicate de incidente de securitate– Orice breșă de securitate poate avea consecințe majore, inclusiv sancțiuni financiare și pierderea credibilității pe piață.

Exemple concrete ale activităților companiilor de pază și protecție care necesită un DPO:

• Supravegherea video într-un centru comercial:O companie de pază și protecție administrează sistemul de supraveghere video al unui mall, monitorizând permanent mișcările vizitatorilor și ale angajaților magazinelor. Aceste date trebuie gestionate conform GDPR, ceea ce impune reguli clare privind accesul la înregistrări, perioada de stocare a datelor și informarea corectă a persoanelor supravegheate.
• Controlul accesului într-o clădire de birouri:O companie de pază și protecție gestionează sistemul de acces într-un sediu de afaceri, înregistrând numele, ora de intrare și ieșire ale angajaților și vizitatorilor. În plus, unele sisteme moderne utilizează recunoașterea facială sau scanarea amprentelor pentru autentificare. Acest tip de prelucrare necesită măsuri stricte de protecție, iar DPO-ul trebuie să asigure conformitatea cu GDPR și să analizeze impactul asupra vieții private a persoanelor.
• Pază și protecție la evenimente publice:La concerte, meciuri de fotbal sau alte evenimente de mare amploare, companiile de pază și protecție sunt responsabile de securitate și de monitorizarea fluxului de persoane. Adesea, acest lucru implică folosirea camerelor de supraveghere, scanarea documentelor de identitate și, în unele cazuri, chiar analiza comportamentală pentru prevenirea incidentelor. DPO-ul trebuie să stabilească reguli clare pentru utilizarea acestor date și să se asigure că sunt respectate drepturile participanților.
• Monitorizarea transportului de valori:O companie de pază și protecție specializată în paza transporturilor bunurilor şi valorilor, folosește echipamente GPS pentru a urmări rutele vehiculelor care transportă bani sau bunuri valoroase. Aceste date sunt extrem de sensibile, iar DPO-ul trebuie să garanteze că informațiile sunt protejate împotriva accesului neautorizat și că nu sunt utilizate în afara scopului declarat.

Obligațiile concrete ale companiei de pază și protecție în relația cu DPO-ul:

• Stabilirea unor politici clare privind protecția datelor personale, astfel încât toți angajații să cunoască și să respecte regulile privind colectarea, stocarea și utilizarea informațiilor.
• Informarea corectă a persoanelor supravegheate, prin afișe vizibile sau mesaje electronice, astfel încât acestea să fie conștiente că sunt monitorizate și să înțeleagă scopul colectării datelor.
• Limitarea accesului la datele personale, astfel încât doar personalul autorizat să poată vizualiza sau utiliza aceste informații. De exemplu, în cazul supravegherii video, doar managerul de securitate și DPO-ul ar trebui să aibă acces la înregistrări.
• Audituri periodice pentru a verifica conformitatea cu GDPR și Legea nr. 190/2018, astfel încât compania, să prevină eventuale incidente și să demonstreze responsabilitatea față de clienți și autorități.
• Raportarea rapidă a incidentelor de securitate, inclusiv notificarea beneficiarilor (operatorilor de date) și a autorităților competente, în cazul unei breșe care afectează datele personale.

Așa cum am văzut, numirea unui DPO în cadrul unei companii de pază și protecție nu este doar o obligație legală, ci și un pas esențial pentru protejarea datelor personale și consolidarea relației de încredere cu beneficiarii. Având în vedere specificul activității, riscurile asociate și complexitatea prelucrărilor de date, rolul responsabilului cu protecția datelor este unul strategic, care contribuie la buna funcționare a companiei și la respectarea drepturilor persoanelor vizate.

3. Sarcinile și responsabilitățile DPO într-o companie de pază și protecție…

Companiile de pază și protecție joacă un rol esențial în protejarea obiectivelor, bunurilor și valorilor împotriva oricăror acțiuni ilicite, precum și în asigurarea siguranței persoanelor. În acest context, relațiile dintre companiile de pază și protecție și beneficiarii serviciilor lor, implică și o componentă critică: gestionarea datelor cu caracter personal colectate în timpul activităților de securitate.

Pentru a asigura conformitatea cu Regulamentul General privind Protecția Datelor (GDPR) și Legea nr. 190/2018, companiile de pază și protecție au obligația de a desemna un Responsabil cu Protecția Datelor (DPO). Acesta este garantul respectării regulilor privind prelucrarea datelor personale, atât în relația cu beneficiarii, cât și în raport cu autoritățile de supraveghere.

Sarcinile și responsabilitățile DPO în raport cu beneficiarii companiilor de pază și protecție

1. a) Asigurarea respectării acordurilor contractuale privind protecția datelor.

Companiile de pază și protecție acționează ca persoane împuternicite de operator, prelucrând datele personale în numele beneficiarilor. DPO-ul trebuie să se asigure că există un contract clar între compania de pază și protecție și beneficiar, care specifică:

• scopurile exacte ale prelucrării datelor;
• durata păstrării acestora;
• măsurile de securitate adoptate;
• obligațiile fiecărei părți în cazul unui incident de securitate.

Exemplu: O companie de pază și protecție care monitorizează un depozit logistic trebuie să aibă un contract cu beneficiarul care să precizeze cine poate accesa înregistrările video, cum sunt stocate imaginile și în ce situații pot fi transmise autorităților.

1. b) Supravegherea conformității cu regulile GDPR și auditarea proceselor.

DPO-ul trebuie să monitorizeze permanent modul în care compania de pază și protecție respectă regulile privind protecția datelor. Acest lucru se face prin audituri interne periodice, prin care sunt analizate:

• procedurile de colectare și stocare a datelor;
• nivelul de securitate al sistemelor informatice;
• accesul la date al angajaților companiei de pază și protecție, și al beneficiarilor.

Exemplu: În cazul unui centru comercial unde compania de pază și protecție monitorizează fluxul de persoane, DPO-ul trebuie să verifice dacă imaginile nu sunt păstrate mai mult decât perioada necesară și dacă doar personalul autorizat are acces la ele.

1. c) Consilierea beneficiarilor privind implementarea măsurilor de securitate a datelor
   DPO-ul trebuie să sprijine beneficiarii în înțelegerearesponsabilităților legaleprivind protecția datelor, oferind recomandări pentru implementarea unor măsuri eficiente de securitate.

Exemplu: Dacă un operator economic dorește să implementeze un sistem de recunoaștere facială pentru accesul în sediul său, DPO-ul trebuie să analizeze impactul asupra protecției datelor și să stabilească dacă această măsură este proporțională cu riscurile implicate.

Sarcinile și responsabilitățile DPO în raport cu compania de pază și protecție

1. a) Instruirea și conștientizarea angajaților companiei de pază și protecție.

DPO-ul trebuie să organizeze sesiuni de instruire periodice pentru agenții de securitate, astfel încât aceștia să înțeleagă:

• ce tipuri de date colectează și cum trebuie protejate;
• care sunt drepturile persoanelor vizate și cum trebuie respectate;
• cum trebuie raportate eventualele incidente de securitate.

Exemplu: În cazul unui spital unde compania de pază și protecție gestionează accesul în zone cu acces restricționat, DPO-ul trebuie să instruiască agenții să nu dezvăluie informații despre pacienți și să respecte confidențialitatea imaginilor video colectate.

1. b) Gestionarea incidentelor de securitate și raportarea acestora.

În cazul unui incident de securitate, cum ar fi pierderea unor date video sau accesul neautorizat la informații sensibile, DPO-ul are obligația de a lua măsuri rapide, care includ:

• investigarea incidentului și evaluarea impactului;
• informarea beneficiarului (operatorului de date);
• notificarea autorităților competente (ANSPDCP) în termenul legal de 72 de ore, dacă este necesar.

Exemplu: Dacă datele de acces ale angajaților unei fabrici sunt compromise din cauza unei breșe informatice, DPO-ul trebuie să colaboreze cu echipele IT pentru a limita pagubele și să stabilească ce măsuri de prevenție trebuie implementate pe viitor.

1. c) Verificarea respectării drepturilor persoanelor vizate.

Persoanele ale căror date sunt prelucrate de compania de pază și protecție au anumite drepturi garantate prin GDPR, inclusiv:

• dreptul de a fi informate că sunt filmate;
• dreptul de acces la datele colectate despre ele;
• dreptul de a solicita ștergerea anumitor date, în anumite condiții.

DPO-ul trebuie să gestioneze solicitările persoanelor vizate și să se asigure că compania de pază și protecție respectă aceste drepturi.

Exemplu: Dacă un fost angajat al unui beneficiar cere acces la imaginile video în care apare, DPO-ul trebuie să analizeze cererea și să stabilească dacă există un temei legal pentru furnizarea acestor date.

Așa cum am văzut, rolul DPO-ului într-o companie de pază și protecție nu este doar unul tehnic, ci și unul strategic, asigurând conformitatea cu legislația și construind o relație de încredere cu beneficiarii serviciilor de securitate. Printr-o monitorizare atentă, consiliere permanentă și intervenție rapidă în caz de incidente, DPO-ul contribuie nu doar la evitarea sancțiunilor, ci și la consolidarea reputației companiei de pază și protecție ca un partener de încredere pentru clienții săi.

4. Compania de pază și protecție ca „persoană împuternicită de operator”…

Companiile de pază și protecție oferă servicii esențiale pentru protejarea obiectivelor, bunurilor și valorilor, precum și pentru siguranța persoanelor, însă, în exercitarea atribuțiilor lor, acestea nu acționează doar în interes propriu, ci și în numele beneficiarilor lor – adică operatorii de date. Din această perspectivă, conform Regulamentului General privind Protecția Datelor (GDPR) și Legii nr. 190/2018, companiile de pază și protecție sunt considerate persoane împuternicite de operator, având obligații clare privind gestionarea datelor personale colectate în cadrul activităților lor.

Ce înseamnă că o compania de pază și protecție este, „persoană împuternicită de operator”?

Conform GDPR, persoana împuternicită de operator este entitatea care prelucrează date personale în numele unui operator (beneficiarul serviciilor), fără a decide ea însăși scopurile și mijloacele de prelucrare. Cu alte cuvinte, compania de pază și protecție prelucrează datele personale ale angajaților, vizitatorilor sau clienților strict în limitele stabilite de beneficiar, fiind responsabilă de aplicarea măsurilor de protecție adecvate.

Exemplu: O compania de pază și protecție care monitorizează accesul într-un parc industrial prin intermediul unui sistem de supraveghere video nu decide singură scopul și durata stocării imaginilor, ci acționează conform instrucțiunilor beneficiarului – operatorul acestor date.

Obligațiile companiei de pază și protecție în calitate de persoană împuternicită de operator

Pentru a evita riscuri juridice și financiare, compania de pază și protecție trebuie să respecte obligațiile impuse prin GDPR, dar și să stabilească o relație contractuală clară cu beneficiarii săi.

1. Încheierea unui contract de prelucrare a datelor cu beneficiarul (operatorul)

Compania de pază și protecție nu poate prelucra date personale fără un contract scris cu operatorul de date. Acest contract trebuie să includă:

• scopurile și durata prelucrării datelor;
• măsurile tehnice și organizatorice pentru protecția acestora;
• obligația companiei de pază și protecție de a respecta instrucțiunile beneficiarului;
• procedura de raportare a incidentelor de securitate.

Exemplu: O companie de pază și protecție care asigură monitorizarea video într-o instituție bancară trebuie să aibă un contract clar cu banca, specificând cine poate accesa imaginile, cât timp sunt păstrate și în ce condiții pot fi transmise autorităților.

2. Limitarea accesului la datele personale și respectarea confidențialității

Compania de pază și protecție trebuie să implementeze măsuri de restricționare a accesului la datele colectate, astfel încât doar personalul autorizat să poată consulta aceste informații.

Exemplu: Într-un complex rezidențial, agenții de pază înregistrează datele vizitatorilor (nume, ora intrării și ieșirii). DPO-ul companiei de pază și protecție trebuie să se asigure că aceste date sunt accesibile doar managerului de securitate și că nu sunt utilizate în alte scopuri decât cele prevăzute în contract.

3. Protejarea datelor personale împotriva accesului neautorizat

Compania de pază și protecție trebuie să implementeze măsuri tehnice și organizatorice pentru securizarea datelor, cum ar fi:

• stocarea imaginilor video pe servere securizate;
• acces controlat prin parole și autentificare în doi pași;
• criptarea informațiilor sensibile.

Exemplu concret: Dacă o companie de pază și protecție care monitorizează un depozit logistic stochează înregistrările video pe un server centralizat, aceasta trebuie să implementeze măsuri care să prevină accesul neautorizat, cum ar fi autentificarea pe bază de roluri (doar anumite persoane pot vizualiza și exporta datele).

4. Raportarea incidentelor de securitate beneficiarului și autorităților

Dacă are loc o breșă de securitate, compania de pază și protecție trebuie să informeze imediat operatorul de date și, dacă este necesar, să raporteze incidentul autorităților (ANSPDCP) în termen de 72 de ore.

Exemplu: Dacă o companie de pază și protecție care monitorizează un hotel descoperă că înregistrările video ale oaspeților au fost accesate neautorizat de un angajat, aceasta trebuie să informeze urgent conducerea hotelului și să colaboreze pentru remedierea situației.

5. Instruirea angajaților privind protecția datelor

Pentru a evita erori sau incidente, compania de pază și protecție trebuie să instruiească periodic agenții de securitate privind regulile GDPR și responsabilitățile lor în protecția datelor.

Exemplu: Agenții de pază care gestionează sistemele de control al accesului trebuie să fie instruiți să nu furnizeze date despre persoanele supravegheate fără aprobarea beneficiarului. De exemplu, un agent nu ar trebui să divulge unui vizitator câte persoane sunt în interiorul unei clădiri, dacă acest lucru nu este autorizat.

Companiile de pază și protecție, în calitate de persoane împuternicite de operator, trebuie să respecte reguli stricte privind prelucrarea datelor personale în numele beneficiarilor. Prin implementarea unor măsuri eficiente de protecție a datelor, stabilirea unor contracte clare și instruirea periodică a angajaților, companiile de pază și protecție nu doar că respectă obligațiile legale, dar și demonstrează un nivel ridicat de profesionalism și încredere în fața clienților lor.

5. Recomandări practice pentru companiile de pază și protecție în relația cu beneficiarii serviciilor…

Companiile de pază și protecție acționează în dublă calitate: pe de o parte, sunt operatori de date pentru propriile activități (de exemplu, gestionarea datelor angajaților și a activităților interne), iar pe de altă parte, sunt persoane împuternicite de operator pentru clienții lor, prelucrând datele personale în numele acestora. Având în vedere această dublă responsabilitate, respectarea cerințelor GDPR și a Legii nr. 190/2018 devine o prioritate absolută. Vă ofer, câteva recomandări practice care ajută la o mai bună gestionare a acestor obligații:

1. Desemnarea și rolul DPO în companiile de pază și protecție…

Orice companie de pază și protecție care monitorizează sistematic și constant persoane prin mijloace precum supravegherea video sau registre electronice de acces trebuie să desemneze un responsabil cu protecția datelor (DPO). Acesta are rolul de a asigura conformitatea cu legislația în vigoare și de a consilia conducerea și personalul cu privire la protecția datelor. DPO-ul trebuie să:

• Supervizeze toate activitățile care implică prelucrarea datelor personale, atât în relația cu beneficiarii, cât și în procesele interne ale companiei de pază și protecție.
• Evalueze riscurile prelucrării datelor în cadrul serviciilor oferite și să implementeze măsuri adecvate pentru reducerea acestora.
• Instruiească personalul operativ al companiei de pază și protecție cu privire la utilizarea corectă a echipamentelor de supraveghere și prelucrarea datelor colectate.
• Colaboreze cu autoritățile de supraveghere și să gestioneze incidentele de securitate care implică date personale.

2. Clarificarea relației dintre compania de pază și protecție și beneficiarii săi în calitate de persoană împuternicită…

Fiind prestator de servicii pentru clienți din diverse domenii – retail, instituții publice, centre comerciale, zone industriale – compania de pază și protecție prelucrează date în numele acestora, ceea ce o face o „persoană împuternicită de operator” conform GDPR. Pentru a evita riscuri și neclarități juridice, este esențial ca această relație să fie bine reglementată:

• Contracte clare și detaliate– Fiecare beneficiar trebuie să încheie un contract de prelucrare a datelor cu compania de pază și protecție, care să specifice scopul și limitele utilizării datelor personale, precum și măsurile de protecție adoptate.
• Respectarea principiului minimizării datelor– Compania de pază și protecție trebuie să colecteze, doar datele absolut necesare pentru îndeplinirea serviciilor de securitate, evitând colectarea excesivă sau inutilă de informații personale.
• Acces controlat la datele prelucrate– Imaginile video și alte date trebuie să fie accesibile doar persoanelor autorizate, atât în cadrul companiei de pază și protecție, cât și în organizația beneficiarului, conform clauzelor contractuale stabilite.
• Raportarea incidentelor– În cazul unei breșe de securitate care afectează datele personale, compania de pază și protecție trebuie să informeze imediat operatorul (beneficiarul) și să coopereze în procesul de remediere și notificare a autorităților de supraveghere, dacă este necesar.

3. Implementarea măsurilor tehnice și organizatorice pentru protecția datelor…

Pentru a reduce riscurile asociate prelucrării datelor, companiile de pază și protecție trebuie să implementeze măsuri tehnice și organizatorice adaptate specificului activității lor. Printre acestea se numără:

• Pseudonimizarea și criptarea datelor– Dacă este posibil, datele colectate (ex. imagini video) ar trebui protejate prin tehnici care să limiteze accesul neautorizat.
• Audituri periodice și testări de securitate– Verificarea periodică a sistemelor de supraveghere și a procedurilor de acces la date asigură conformitatea continuă cu reglementările GDPR.
• Instruirea personalului– Angajații trebuie să fie pregătiți să gestioneze datele într-un mod sigur și responsabil, evitând expunerea accidentală a informațiilor sensibile.

4. Respectarea principiilor GDPR în toate activitățile de pază și protecție

Companiile de pază și protecție trebuie să integreze principiile de protecție a datelor în toate operațiunile lor, fie că vorbim despre controlul accesului în spații securizate, monitorizarea prin sisteme video sau gestionarea incidentelor de securitate. Conformitatea cu GDPR și cu Legea nr. 190/2018 nu trebuie privită ca o povară birocratică, ci ca un avantaj competitiv care poate îmbunătăți încrederea clienților și reputația companiei.

Prin aplicarea acestor recomandări, companiile de pază și protecție pot gestiona corect relația cu beneficiarii lor și se pot asigura că își îndeplinesc atât obligațiile de securitate fizică, cât și pe cele legale privind protecția datelor personale. Astfel, securitatea nu mai este doar despre pază și protecție, ci și despre gestionarea corectă și responsabilă a informațiilor, pentru un mediu sigur și transparent pentru toți cei implicați.

Companiile de pază și protecție joacă un rol esențial în asigurarea siguranței obiectivelor, bunurilor și persoanelor, însă activitatea lor nu se rezumă doar la protecția fizică. Astăzi, când protecția datelor cu caracter personal este la fel de importantă ca siguranța materială, conformitatea cu GDPR și Legea nr. 190/2018 devine o necesitate, și nu este doar o obligație legală.

Desemnarea unui Responsabil cu Protecția Datelor (DPO) nu este doar o cerință impusă de lege, ci și o strategie de protejare a companiei împotriva riscurilor legale și financiare. Un DPO bine pregătit asigură respectarea regulilor, previne incidentele de securitate și creează un cadru de încredere între compania de pază și protecție și beneficiarii serviciilor sale.

În plus, fiind persoană împuternicită de operator, compania de pază și protecție trebuie să gestioneze datele cu caracter personal într-un mod transparent și securizat, respectând în totalitate instrucțiunile beneficiarului. Contractele clare, măsurile tehnice adecvate și instruirea continuă a angajaților sunt elemente esențiale pentru menținerea conformității.

Prin adoptarea unei abordări proactive și responsabile în protecția datelor, companiile de pază și protecție nu doar că își protejează clienții și angajații, ci își consolidează și reputația ca parteneri de încredere într-un domeniu în care siguranța este esențială – atât în plan fizic, cât și în cel digital.

Ion Iordache