GDPR în primărie: ce date colectezi printr-o sesizare și cât le păstrezi

Sesizările electronice ridică întrebări de protecție a datelor pe care registrul pe hârtie nu le punea — nu pentru că hârtia ar fi fost mai sigură, ci pentru că nimeni nu se întreba ce se întâmplă cu ea. Mai jos sunt răspunsurile practice, în ordinea în care apar întrebările într-o primărie.

Cine este operator și cine este împuternicit

Distincția aceasta decide cine răspunde pentru ce.

• Primăria este operator. Ea stabilește de ce se colectează datele și ce se face cu ele. Ea răspunde în fața persoanei vizate și a autorității de supraveghere.
• Furnizorul platformei este împuternicit. Prelucrează datele exclusiv pe baza instrucțiunilor primăriei, nu le folosește în scopuri proprii și nu le transmite altcuiva fără temei.

Relația se consemnează într-un acord de prelucrare a datelor, semnat odată cu contractul. Acordul trebuie să spună concret: ce categorii de date, în ce scop, cât timp, ce subîmputerniciți sunt folosiți (găzduire, e-mail, notificări) și ce se întâmplă la încetarea contractului.

Un furnizor care nu are un astfel de acord pregătit, sau care îl consideră o formalitate, este un risc pentru primărie — pentru că răspunderea în fața cetățeanului rămâne a primăriei.

Ce temei are primăria

Pentru soluționarea petițiilor și a cererilor de informații de interes public, prelucrarea se face în principal pe temeiul îndeplinirii unei obligații legale și al exercitării unei sarcini care servește interesului public. Consimțământul nu este temeiul potrivit aici, iar asta are o consecință practică importantă: cetățeanul nu își poate retrage „acordul” pentru ca primăria să nu îi mai soluționeze sesizarea, iar primăria nu trebuie să ceară un acord pentru ceva ce oricum este obligată să facă.

Consimțământul rămâne temeiul potrivit pentru ce este suplimentar: abonarea la anunțuri prin e-mail sau SMS, de exemplu. Acolo, retragerea trebuie să fie la fel de simplă ca exprimarea, iar oprirea notificărilor nu trebuie să blocheze accesul la serviciul de bază.

Ce date se colectează, de fapt, printr-o sesizare

Mai multe decât se crede, mai ales în varianta electronică:

Minimizarea: fotografia cu numărul de înmatriculare

Principiul minimizării spune că se colectează doar ce este necesar scopului. În practică, cel mai frecvent caz este fotografia: un cetățean fotografiază o mașină parcată neregulamentar, iar imaginea conține numărul de înmatriculare și, uneori, persoane.

Regulile care funcționează:

• Fotografiile nu se publică în zona vizibilă public a portalului. Ele rămân în dosarul intern al lucrării.
• Accesul la ele este limitat la compartimentul care soluționează lucrarea, nu la toți utilizatorii instituției.
• Nu cereți documente de identitate ca atașament, dacă nu vă sunt strict necesare pentru tipul respectiv de cerere. O copie de buletin încărcată „pentru siguranță” este un risc creat de instituție, nu de cetățean.

Cât se păstrează

Durata de păstrare se stabilește de primărie, în nomenclatorul arhivistic propriu, pe categorii de documente — nu de furnizorul de software și nu „cât mai mult, ca să avem”. Un sistem corect permite configurarea acestor termene, nu le impune.

Există o excepție frecvent înțeleasă greșit: jurnalul de audit. El nu conține documentele, ci consemnarea operațiunilor. Se păstrează pe o durată proprie — uzual 3 ani — și nu poate fi șters selectiv, pentru că exact imposibilitatea ștergerii îi dă valoare.

Când cetățeanul cere ștergerea contului

Aici apare aparentul conflict: dreptul la ștergere pe de o parte, obligația de arhivare pe de alta. Rezolvarea practică este separarea persoanei de document.

1. Se șterg datele de identificare asociate contului: nume, e-mail, telefon, adresă.
2. Sesizarea rămâne înregistrată, cu numărul și conținutul ei, dar fără legătură cu o persoană identificabilă. Registrul rămâne continuu, iar termenele istorice rămân verificabile.
3. Jurnalul de audit consemnează că ștergerea a avut loc, cine a efectuat-o și când — fără a reintroduce datele șterse.
4. Se răspunde cetățeanului în termenul prevăzut de regulament, arătând ce s-a șters și ce a rămas, cu motivul legal.

Aceeași logică se aplică și exportului datelor la cerere: cetățeanul primește ce l-a privit pe el, nu conținutul lucrărilor altor persoane.

Comentariile interne și ce vede cetățeanul

Într-o lucrare există două tipuri de comentarii: cele care explică cetățeanului stadiul și cele prin care funcționarii se coordonează între ei. Amestecarea lor produce, inevitabil, o problemă — fie o notă internă ajunge la cetățean, fie funcționarii încetează să mai scrie ceva, de teamă.

Soluția este un marcaj explicit, la scriere: comentariile marcate ca interne sunt invizibile pentru cetățean, iar cele publice sunt afișate în portal. Marcajul trebuie să fie evident vizual, nu o bifă pe care o ratezi.

Măsuri tehnice care nu se negociază

• Transmisie criptată (HTTPS) pe tot site-ul și pe toate formularele.
• Separarea completă a datelor între primării, dacă platforma deservește mai multe instituții. Izolarea trebuie să fie tehnică, nu o convenție de afișare.
• Acces pe roluri: un angajat vede ce i s-a repartizat, un șef de compartiment vede compartimentul său și pe cele subordonate.
• Jurnal de audit care nu poate fi modificat, cu cine, ce, când și de la ce adresă.
• Copii de siguranță și un termen declarat de restaurare.
• Stocare pe teritoriul Uniunii Europene, declarată în contract.
• Validarea fișierelor încărcate după tipul real de conținut, nu doar după extensie.

Detalii despre modul în care Edilo tratează aceste aspecte sunt în politica de confidențialitate. Vedeți și articolul despre jurnalul de audit, care este mecanismul pe care se sprijină cele mai multe dintre garanțiile de mai sus.