Articolul 31 GDPR — Cooperarea cu autoritatea de supraveghere

Articolul 31 GDPR obligă operatorii, persoanele împuternicite și reprezentanții lor să coopereze, la cerere, cu autoritatea de supraveghere. E un articol scurt, dar stă la baza puterii de control a ANSPDCP — necooperarea în sine poate atrage sancțiuni, indiferent de rezultatul investigației.

Ce prevede articolul?

Textul cere, simplu, cooperare „la cerere" cu autoritatea de supraveghere în îndeplinirea sarcinilor sale. În practică, asta înseamnă furnizarea de informații, documente și acces, atunci când ANSPDCP investighează o plângere, face un control sau solicită clarificări. Obligația se aplică nu doar operatorului, ci și persoanelor împuternicite de operator și reprezentanților lor desemnați conform Articolului 27.

Ce înseamnă în practică pentru o firmă?

Ai nevoie de un proces intern clar: cine răspunde solicitărilor ANSPDCP, în ce termen și cu ce documente. De regulă e vorba de registrul de evidență a prelucrărilor, politici de securitate, contracte de împuternicire sau evaluări de impact. Necooperarea sau răspunsurile evazive agravează orice investigație și pot conduce la sancțiuni suplimentare conform Articolului 83. O firmă pregătită din timp — cu documentele la zi, ușor de extras — trece printr-un control mult mai rapid și cu risc mai mic decât una care improvizează răspunsul.

Ce tipuri de solicitări vin de la ANSPDCP?

Cooperarea nu se limitează la controale planificate. Cel mai adesea, autoritatea contactează o firmă în urma unei plângeri depuse de o persoană vizată — de exemplu, un fost client sau angajat nemulțumit de modul în care i-au fost tratate datele. Alteori, solicitarea vine dintr-o investigație proprie a autorității, declanșată de un incident public (o breșă de securitate mediatizată) sau dintr-o campanie tematică de verificare pe un anumit sector de activitate. Indiferent de origine, termenul de răspuns comunicat de ANSPDCP trebuie respectat cu strictețe — o cerere de prelungire, dacă e cazul, se solicită înainte de expirarea termenului, nu după.

Exemplu concret

ANSPDCP investighează o plângere a unui fost angajat și solicită firmei registrul de evidență și politica de securitate a datelor, într-un anumit termen. Firma trebuie să răspundă complet și la timp — o tăcere sau un răspuns parțial poate fi interpretat ca lipsă de cooperare, agravând situația și atrăgând, potențial, o sancțiune separată de eventuala încălcare inițială investigată.

Greșeli frecvente

• Ignorarea sau amânarea răspunsului la solicitările autorității.
• Furnizarea unor informații incomplete sau inexacte.
• Lipsa unei persoane desemnate care să gestioneze comunicarea cu ANSPDCP.
• Tratarea unei solicitări de informații ca pe o formalitate care poate aștepta, în loc de o prioritate cu termen strict.

Cooperarea nu înseamnă auto-incriminare fără discernământ

Cooperarea nu presupune să oferi voluntar informații suplimentare, dincolo de ce ți se cere concret — ci să răspunzi complet și corect la ce se solicită. Firmele mai prudente implică, la o solicitare complexă, și un consultant sau avocat specializat în protecția datelor, tocmai pentru a se asigura că răspunsul e complet, corect formulat și nu creează confuzii care ar putea agrava, fără motiv real, o investigație altfel gestionabilă.

Un ultim aspect practic: cooperarea reală, transparentă și la timp e adesea privită favorabil de autoritate la stabilirea unei eventuale sancțiuni conform Articolului 83, care menționează explicit gradul de cooperare drept unul dintre criteriile luate în calcul. O firmă care cooperează activ, chiar dacă a greșit inițial, e tratată diferit de una care obstrucționează investigația.

Vezi și ghidul GDPR. Te-a contactat ANSPDCP sau vrei să fii pregătit pentru un control? Cere sprijin.

Întrebări frecvente