Ghid de conformitate GDPR pentru biroul de cadastru
Instrument pus la dispoziția biroului licențiat. Nu conține obligații ale JERICHO CONCEPT S.R.L. — descrie obligațiile biroului ca operator de date și felul în care CADARSYS îl ajută să le îndeplinească.
Ghidul acoperă situația obișnuită a unui birou de cadastru din România care lucrează cu CADARSYS. Nu ține locul unei consultanțe juridice; pentru situații atipice, biroul se adresează unui specialist.
1. Ce înseamnă că biroul e „operator”
Biroul decide de ce și cum prelucrează datele clienților săi — deci este operator în sensul GDPR. Consecințe practice: trebuie să informeze persoanele, să țină o evidență a prelucrărilor, să răspundă la cererile lor și să anunțe eventualele incidente.
CADARSYS este doar instrumentul. Furnizorul aplicației devine persoană împuternicită numai în două situații, ambele pornite de birou: funcțiile de inteligență artificială și intervențiile de suport (vezi Acordul de prelucrare a datelor).
2. Registrul activităților de prelucrare
Art. 30 GDPR cere o evidență scrisă. Mai jos, prelucrările reale ale unui birou care folosește CADARSYS — de completat cu datele biroului și de păstrat la dosar.
| Prelucrarea | Scop | Temei | Categorii de date | Destinatari | Durată |
|---|---|---|---|---|---|
| Evidența clienților (CRM) | contactare, contractare, facturare | contract | identificare, contact, CNP | ANCPI, contabil | contract + 3 ani |
| Documentații cadastrale | întocmire și depunere | contract + obligație legală | identificare, CNP, imobil, acte | ANCPI/OCPI, primărie, notar | conform arhivării ANCPI |
| Scanarea actului de identitate | preluarea datelor fără erori de transcriere | contract | imaginea actului, CNP | niciunul (local) sau furnizorul AI, dacă se alege precizie maximă | până la introducerea datelor |
| Semnarea pe telefonul clientului | dovada semnării | contract | semnătură, nume, oră, IP local, tip dispozitiv | niciunul | cât documentația |
| Evidența financiară | încasări, facturi | obligație legală | identificare, sume | contabil, ANAF | 10 ani |
| Programări și ieșiri pe teren | organizarea lucrării | contract | adresă, contact, fotografii, coordonate GPS | niciunul | contract + 1 an |
| Imobile vecine preluate din eTerra | întocmirea planului | interes legitim / obligație legală | numere cadastrale, geometrii, uneori nume de proprietari | ANCPI (sursa) | cât documentația |
| Conturi și jurnal de utilizare | securitate, atribuirea operațiunilor | interes legitim | nume utilizator, acțiuni, momente | niciunul | 24 de luni recomandat |
Atenție la vecini. Datele imobilelor învecinate, preluate din eTerra, privesc persoane care nu au contractat cu biroul. Temeiul este obligația legală de a întocmi documentația cu vecinătăți, nu consimțământul lor. Nu se folosesc în alt scop și nu se transmit mai departe.
3. Ce trebuie să facă biroul, concret
- Informarea clienților — înmânează, odată cu contractul, nota de informare (modelul din pachetul CADARSYS) sau afișeaz-o la sediu.
- Menționează inteligența artificială, dacă folosești Copilotul sau scanarea de precizie maximă: e o obligație asumată prin Acordul de prelucrare a datelor §6 pct. 2.
- Instruiește utilizatorii — cine are cont în aplicație trebuie să știe că datele nu se copiază pe stick-uri personale, nu se trimit pe WhatsApp personal și nu se discută în afara biroului. Un angajament scris (modelul din pachet) rezolvă și obligația de a-ți lega personalul, prevăzută de art. 29 GDPR.
- Dezactivează conturile persoanelor care pleacă, chiar în ziua plecării, și revocă tokenurile de telefon.
- Fă copii de siguranță și verifică periodic că se pot restaura. Pierderea datelor e tot un incident de securitate.
- Nu trimite date reale la suport dacă poți evita — o captură de ecran cu un caz de test spune de multe ori același lucru.
4. Cererile persoanelor vizate
Ai 30 de zile să răspunzi. Ce poți și ce nu:
| Cerere | Ce faci |
|---|---|
| Acces — „ce date aveți despre mine?” | Deschizi fișa clientului și dosarele lui, exporți sau tipărești. |
| Rectificare | Corectezi în aplicație. Dacă documentația a fost deja depusă, corectura urmează procedura ANCPI. |
| Ștergere | Nu se poate pentru documentația depusă și pentru documentele contabile: legea îți impune să le păstrezi. Explică asta în scris, invocând obligația legală. Poți șterge datele de contact folosite doar pentru marketing sau reamintiri. |
| Restricționare | Marchezi clientul ca inactiv și nu-l mai folosești în comunicări. |
| Portabilitate | Se aplică datelor furnizate de client, în format uzual — exportul din aplicație acoperă situația. |
| Opoziție | Se aplică prelucrărilor pe interes legitim (reamintiri, comunicări), nu celor impuse de lege. |
Regula de aur: răspunde în scris, chiar și când răspunsul e „nu pot, pentru că legea îmi cere să păstrez”. Un refuz motivat e conform; tăcerea nu e.
5. Dacă se întâmplă un incident
Un calculator furat, o bază de date trimisă din greșeală, un cont compromis, un ransomware — toate sunt încălcări ale securității.
- Oprește scurgerea (deconectează stația, schimbă parolele, revocă tokenurile).
- Notează ce s-a întâmplat, când, ce date sunt afectate și câte persoane.
- Notifică ANSPDCP în 72 de ore de la momentul în care ai aflat, dacă există un risc pentru persoane. Formularul e pe dataprotection.ro.
- Anunță persoanele afectate dacă riscul e ridicat (de exemplu, s-au pierdut CNP-uri și copii de acte).
- Consemnează incidentul într-un registru propriu, chiar dacă nu l-ai notificat — obligația de evidență există oricum.
Model minim de notificare internă: ce s-a întâmplat · când · ce date · câte persoane · ce am făcut · ce facem ca să nu se repete.
6. Angajații biroului
Zona cea mai sancționată în practică, și cea mai des ignorată.
CADARSYS înregistrează, prin natura lui: cine ce a modificat (jurnalul), cine e conectat în acest moment și pe ce pagină (prezența în rețea), ieșirile pe teren cu coordonate GPS și fotografii, iar pe telefon rulează pe dispozitivul personal al angajatului.
Ce trebuie să facă biroul:
- Informează angajații în scris despre aceste înregistrări, înainte de a-i pune să folosească aplicația: ce se înregistrează, de ce, cine vede, cât se păstrează.
- Justifică proporțional — jurnalul are scop de securitate și atribuire a operațiunilor, nu de supraveghere a ritmului de lucru. Nu-l folosi ca instrument de evaluare fără să fi spus asta dinainte.
- GPS-ul de teren se folosește pentru lucrare, nu pentru urmărirea deplasărilor personale. Aplicația mobilă se instalează pe telefonul personal numai cu acordul angajatului; alternativa e un telefon al biroului.
- La plecarea din birou: dezactivează contul, revocă tokenul de telefon, verifică ce fișiere are pe dispozitive personale.
7. Ce NU trebuie să facă biroul
- Nu are nevoie de consimțământ pentru documentația cadastrală: temeiul e contractul și obligația legală. O bifă de consimțământ cerută degeaba încurcă, pentru că sugerează un drept de retragere care nu există.
- Nu are nevoie de responsabil cu protecția datelor (DPO) în situația obișnuită a unui birou mic. Devine relevant la prelucrare pe scară largă.
- Nu trebuie să notifice ANSPDCP că prelucrează date — obligația de înregistrare prealabilă a dispărut odată cu GDPR.
Ghid pus la dispoziție, ca instrument de lucru, de JERICHO CONCEPT S.R.L. · cadarsys.ro. Nu constituie consultanță juridică.