Confidențialitate

1. Abstract

în activitatea curentă GASPECO L&D folosește o varietate de date despre persoane identificabile:

- Angajați actuali, foști și viitori;

- Clienți;

- Utilizatori ai site-ului web;

- Alte persoane sau grupuri interesate.

în procesul de colectare și utilizare a datelor, compania este subiectul unor reglementări legale și auditari care au că obiect modul în care se desfășoară aceste activități și modul în care sunt protejate datele cu caracter personal.

2. Obiectul politicii

Scopul acestei politici este stabilirea cadrului legislativ relevant în domeniu și descrierea pașilor pe care GASPECO L&D îi urmează pentru a se alinia legislației.

Politică se aplică tututor sistemelor, persoanelor și proceselor care formează infrastructura companiei, inclusiv membrii administrației, directori, angajați și terțe persoane care au acces la sistemul GASPECO L&D.

3. GDPR

Regulamentul general de protecție a datelor (GDPR) este un standard ce influențează modul în care GASPECO L&D utilizează, procesează și stochează datele cu caracter personal.

Amenzile sunt consistente dacă se semnalează breșe, scopul GDPR fiind de a securiza informațiile personale ale indivizilor ce aparțin spațiului UE. Strategia GASPECO L&D este de a garanta alinierea cu prevederile GDPR și altor regulamente.

4. Concepte fundamentale GDPR

Date personale: orice informație legată de o persoană identificabilă; o persoană identificabilă este o persoană fizică ce poate fi identificată direct sau indirect, în particular prin referință la un identificator cum ar fi nume, număr de identificare, poziție geografică, sau la anumiți factori cum a fi cei psihici, genetici, mentali, economici, culturali, identitatea socială etc;

Procesare:

Orice operațiune sau set de operațiuni care se execută pe date personale sau seturi de date personale, manual sau automat, cum ar fi: colectare, înregistrare, organizare, structurare, stocare, adaptare, modificare, raportare, consultare, folosire, retransmitere, punere la dispoziție, ștergere, distrugere;

Controlor: persoană fizică sau juridică, autoritatea publică, agenție sau alt organism care, singuri sau împreună cu alte entități, stabilește scopul și mijloacele procesării datelor cu caracter personal.

5. Principiile procesării datelor cu caracter personal

Conform GDPR versiunea 2016 au fost stabilite 7 principii privind procesarea datelor cu caracter personal și a modului în care companiile trebuie să se raporteze la aceste principii (Capitolul II, Articolul 5.1)

5.1. Datele personale trebuie să fie:

a. procesate legal, corect și într-o manieră transparență în relație cu subiectul datelor;

b. colectate în scopuri specificate explicit și legitime și nu procesate într-o manieră incompatibilă cu scopul. Procesarea ulterioară în scopuri de arhivare în interes public, științific, istoric sau statistic trebuie să fie compatibilă cu scopul inițial ("limitarea scopului") – Articolul 89(1);

c. adecvate, relevante și limitate la strictul necesar în relația cu scopul în care sunt procesate ("minimizarea datelor");

d. corecte și, unde este necesar, actualizate; trebuie luate toate măsurile pentru că datele personale incorecte din punct de vedere al scopului în care se procesează să fie șterse sau corectate imediat ("corectitudine");

e. păstrate într-o manieră care să nu permită identificarea subiecților pe o perioada mai lungă decât e necesară conform scopului în care datele sunt procesate ("limitarea stocării") Articolul 89(1);

f. procesate într-o manieră care asigura securitatea corespunzătoare, inclusiv protecția împotriva procesării neautorizate și ilegale și împotriva pierderilor accidentale, distrugerii. ("integritate și confidențialitate");

5.2. Controlorul este responsabil pentru toate cele menționate la paragraful 5.1 și trebuie să fie capabil să demonstreze compatibilitaea cu prevederile regulamentului ("responsabilitate").

6. Responsabilitatea angajaților

Fiecare angajat al GASPECO L&D implicat în colectarea, stocarea și procesarea datelor răspunde conform legilor în vigoare.

Angajații trebuie să se asigure că:

Obțin și procesează datele în mod corect;

Păstrează datele doar în scop explicit și legal;

Pune la dispoziție terților datele doar în mod compatibil cu scopul deținerii și procesării lor;

Păstrează datele în siguranță;

Păstrează datele corecte, complete și actualizate;

Datele sunt adecvate scopului, relevante și nu sunt exced scopul în care se procesează;

Nu păstrează datele mai mult decât este necesar conform scopului colectării lor.

Orice cereri de accesare a datelor cu caracter personal trebuie redirecționată spre Management, responsabilii cu managementul informației și securității.

7. Drepturile individului

GDPR atribuie următoarele drepturi individuale:

Dreptul de a fi informat;

Dreptul de acces;

Dreptul de rectificare;

Dreptul de ștergere;

Dreptul de restrângere a procesării;

Dreptul portabilității datelor;

Dreptul să obiecteze;

Drepturi legate de decizii automatizate și crearea de profile.

8. Consimțământul

Cu excepția cazurile prevăzute de GDPR, trebuie obținut consimțământul explicit de la subiecții pentru care se dorește colectarea și procesarea datelor. în cazul copiilor sub 16 ani trebuie obținut consimțământul părinților. Subiecții trebuie să primească o informare transparență privind scopul și modul de folosire a datelor. De asemenea, subiecții trebuie informați cu privire la drepturile lor. Informarea trebuie să fie gratuită, într-o formă accesibilă, scrisă în limbaj clar.

Dacă datele nu sunt obținute direct de la subiect, informarea trebuie să fie făcută într-un interval de timp rezonabil care să nu depășească o luna calendaristică.

9. Responsabilul cu protectia datelor (DPO)

Organizația trebuie să definească rolul de DPO, obligatoriu conform GDPR dacă organizația este autoritate publică, dacă efectuează monitorizare pe scară largă sau dacă procesează date personale pe scară largă.

DPO trebuie să aibă nivelul corespunzător de cunoștințe și poate fi o resursă internă sau externă companiei.

Conform criteriilor de mai sus, GASPECO L&D trebuie să numească un DPO.

10. Notificarea breșelor de securitate

Politică GASPECO L&D este de a fi corectă privind acțiunile care se impun pentru notificarea părților terțe cu privire la eventuale breșe privind datele personale. Conform GDPR, dacă se constată o breșă care poate avea potențial risc pentru drepturile și libertăților individuale, trebuie informată Autoritatea pentru protecția datelor într-un interval de 72 de ore. Acest proces se gestionează conform Procedurii de răspuns la incidente de securitate.

11. Demonstrarea conformității cu GDPR

Următoarele măsuri au fost luate pentru a alinia GASPECO L&D cerințelor GDR și răspunderii care derivă din această:

- Baza legală pentru procesarea datelor personale a fost adusă la cunoștința personalului în mod clar, fără ambiguități;

- A fost numit un Ofițer pentru protecția datelor (DPO);

- Personalul implicat în procesarea datelor personale a înțeles responsabilitățile pe care le are pentru a asigura o protecție corespunzătoare a datelor;

- A fost asigurat training și oferită documentație privind protecția datelor întregului personal;

- Se respectă regula privind consimțământul;

- Există proceduri care permit subiecților să-și exercite drepturile atribuite prin GDPR, cererile în acest sens fiind gestionate eficace;

- Procedurile privind datele personale sunt revizuite periodic;