O firmă mică poate ajunge să păstreze date personale în mai multe locuri decât își imaginează: emailuri, facturi, telefoane, tabele, CRM, aplicații de contabilitate, formulare de pe site, foldere cloud și conversații pe WhatsApp. Când informațiile sunt împrăștiate, devine greu să răspunzi la întrebări simple: ce date avem, de ce le păstrăm, cine le poate vedea și când trebuie șterse?
Inventarul datelor aduce aceste informații într-un singur loc. Nu trebuie să fie un proiect complicat sau un document de zeci de pagini. Pentru o firmă mică, poate începe ca un tabel clar, actualizat periodic.
Nu începe cu aplicațiile, ci cu oamenii
Împarte inventarul în câteva categorii naturale: clienți și potențiali clienți, angajați și candidați, furnizori, colaboratori și vizitatori ai site-ului.
Pentru clienți, firma poate păstra nume, numere de telefon, adrese de email, adrese de livrare, facturi, comenzi și istoricul discuțiilor. Pentru angajați pot exista date de identificare, contracte, informații salariale, conturi bancare, pontaje și documente privind concediile.
În cazul furnizorilor, unele informații aparțin unor firme, dar altele identifică persoane: reprezentanți, persoane de contact, administratori sau colaboratori independenți. Chiar și agenda telefonului firmei poate conține date personale.
Scopul acestei prime etape nu este să copiezi toate datele într-un alt tabel. Notează doar ce categorii de informații există și ale cui sunt.
Urmărește traseul datelor prin firmă
După ce ai identificat persoanele, verifică de unde vin informațiile. Un client poate completa un formular pe site, poate suna, poate scrie pe Facebook sau poate trimite un email. Datele pot ajunge apoi în CRM, într-un tabel, în aplicația de facturare și în contul firmei de curierat.
Acesta este fluxul datelor: de unde sunt colectate, unde ajung, cine le folosește și cui îi sunt transmise. Exercițiul de cartografiere ajută firma să observe informațiile copiate inutil, accesul prea larg și sistemele uitate în care datele continuă să existe.
Notează și transferurile către furnizori externi: contabil, curier, procesator de plăți, platformă de newsletter, hosting, cloud, CRM sau serviciu de suport. Nu presupune că datele rămân doar în firmă dacă folosești o aplicație online.
Pentru fiecare categorie, scrie scopul
Inventarul trebuie să explice de ce sunt folosite datele. Un număr de telefon poate fi necesar pentru confirmarea unei comenzi, dar asta nu înseamnă automat că poate fi folosit și pentru marketing.
Exemple de scopuri sunt: executarea unei comenzi, emiterea facturii, recrutarea, plata salariilor, gestionarea garanțiilor, furnizarea suportului sau trimiterea comunicărilor comerciale.
GDPR cere existența unui temei legal pentru prelucrarea datelor personale. Temeiul poate depinde de situație: contract, obligație legală, consimțământ, interes legitim sau altă bază prevăzută de regulament. Alegerea nu trebuie făcută mecanic și nici consimțământul folosit pentru orice activitate.
Inventariază aplicațiile și accesul
Fă o listă separată cu toate locurile în care sunt păstrate date: calculatoare, telefoane, servere, Google Drive, Microsoft 365, CRM, WordPress, aplicația de contabilitate, platforma magazinului online și copiile de siguranță.
Pentru fiecare sistem, notează cine are acces. Poți descoperi conturi ale foștilor angajați, parole comune, colaboratori care încă văd documente sau tabele accesibile printr-un link public.
Accesul trebuie limitat la persoanele care au nevoie de date pentru activitatea lor. Omul care publică pe social media nu are nevoie automat de acces la contractele angajaților, iar un colaborator care întreține site-ul nu trebuie să vadă baza completă de clienți.
Stabilește cât timp păstrezi informațiile
„Le păstrăm pentru orice eventualitate” nu este o regulă bună. Pentru fiecare categorie, stabilește o perioadă de păstrare sau un criteriu clar de ștergere.
Unele documente trebuie păstrate pentru perioade stabilite de legislația fiscală, contabilă sau de muncă. Alte informații pot fi șterse mai repede: CV-uri vechi, cereri abandonate, exporturi temporare, conturi inactive sau liste de marketing fără justificare.
GDPR prevede că datele identificabile nu trebuie păstrate mai mult decât este necesar scopului pentru care au fost colectate.
Transformă inventarul într-un document viu
Articolul 30 din GDPR stabilește informațiile care pot fi necesare în evidența activităților de prelucrare: scopuri, categorii de persoane și date, destinatari, transferuri, termene de ștergere și măsuri generale de securitate. Există o derogare limitată pentru anumite organizații cu mai puțin de 250 de angajați, dar aceasta nu se aplică automat tuturor prelucrărilor unei firme mici.
Inventarul trebuie revizuit când firma introduce o aplicație nouă, schimbă CRM-ul, începe un newsletter, angajează personal sau conectează un instrument AI la datele clienților.
Nu este doar un document pentru conformitate. Este și o hartă practică a firmei. Te ajută să elimini date inutile, să închizi accesul vechi și să reacționezi mai repede dacă apare o breșă sau o solicitare din partea unei persoane.
Pentru situații complexe, categorii speciale de date sau transferuri internaționale, firma ar trebui să verifice cerințele concrete cu un specialist în protecția datelor.
Surse folosite
European Data Protection Board – Ghidul de protecție a datelor pentru IMM-uri
EUR-Lex – Regulamentul general privind protecția datelor, inclusiv articolul 30
Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal
Information Commissioner’s Office – recomandări privind cartografierea și evidența datelor
