GDPR la firma funerară: ce faci cu CNP-ul și cu datele familiei

Într-un singur dosar de înmormântare ajung CNP-ul decedatului, numele, adresa și telefonul aparținătorului, uneori și o copie după buletinul lui. La întrebarea „am voie să păstrez CNP-ul?”, răspunsul depinde de persoana căreia îi aparține.

Decedatul și aparținătorul: două situații diferite

Considerentul 27 din GDPR spune direct că regulamentul „nu se aplică datelor cu caracter personal referitoare la persoane decedate”. Același considerent lasă statele membre să facă reguli proprii pentru aceste date. Legea 190/2018, prin care România pune în aplicare GDPR, nu are astfel de reguli.

Aparținătorul e însă o persoană în viață. Numele, adresa, telefonul, CNP-ul și semnătura lui sunt date personale, iar firma care le cere pentru contract este, de regulă, operatorul lor. Un temei de prelucrare din art. 6 alin. (1) e chiar contractul: prelucrarea e permisă când e „necesară pentru executarea unui contract la care persoana vizată este parte” (lit. b). Când o lege îi cere firmei să păstreze un document, temeiul e obligația legală (lit. c).

În practică, dosarul le amestecă: același act are și CNP-ul decedatului, și numele aparținătorului. Cel mai simplu e să tratezi tot dosarul cu aceeași grijă.

Datele decedatului nu intră sub GDPR. Datele celui care semnează contractul intră, de la prima rubrică.

Ce spune Legea 190/2018 despre CNP

Art. 4 din Legea 190/2018 se ocupă de „numărul de identificare național”, adică de CNP, inclusiv de colectarea sau dezvăluirea documentelor care îl conțin, cum e o copie după buletin. Are două alineate:

1. Alin. (1): CNP-ul se poate prelucra în situațiile prevăzute la art. 6 alin. (1) din GDPR, adică pe unul dintre temeiurile obișnuite (contract, obligație legală, consimțământ și celelalte).
2. Alin. (2): când temeiul e interesul legitim al firmei sau al unui terț (art. 6 alin. (1) lit. f din GDPR), firma trebuie să ia patru garanții în plus. Prima: măsuri tehnice și organizatorice pentru reducerea la minimum a datelor, securitate și confidențialitate, conform art. 32 din GDPR. A doua: un responsabil cu protecția datelor. A treia: termene de stocare stabilite după natura datelor și scop, plus termene la care datele se șterg sau se revizuiesc. A patra: instruirea periodică a celor care lucrează cu datele.

Alin. (2) e legat de interesul legitim, nu de simplul fapt că ai CNP-uri în dosare. Dacă CNP-ul aparținătorului e în contract pentru că e nevoie de el ca să execuți contractul, temeiul e contractul, iar art. 4 nu cere pentru asta cele patru garanții. Când trebuie numit totuși un responsabil cu protecția datelor stabilește GDPR, la art. 37-39 (Legea 190/2018, art. 10).

Principiile generale din GDPR se aplică pe orice temei: ceri doar datele de care ai nevoie, le păstrezi cât trebuie și le protejezi (art. 5 alin. (1) lit. c, e și f).

Cât păstrezi datele

Pentru firmele funerare, HG 741/2016 dă un termen precis: contractele de prestări servicii și copiile documentelor fiscale se păstrează și se arhivează 5 ani (art. 11). Contractul are datele aparținătorului, deci și ele rămân în arhivă cel puțin atât.

Pentru restul, GDPR cere ca datele să fie păstrate „pe o perioadă care nu depășește perioada necesară” scopului (art. 5 alin. (1) lit. e). La actele contabile, contabilul îți spune ce termene aplică el. Cu toate astea pe masă poți scrie o regulă internă. Un exemplu:

• contractele și copiile documentelor fiscale: 5 ani, conform HG 741/2016, art. 11, sau mai mult, dacă alt act normativ cere asta;
• copia după buletinul aparținătorului: o păstrezi doar dacă ai nevoie de ea și notezi de ce și până când;
• telefoanele și mesajele schimbate pentru organizarea înmormântării: cât e nevoie pentru caz și pentru eventualele reclamații, apoi le ștergi.

Cine din echipă vede ce

GDPR cere măsuri tehnice și organizatorice care să asigure confidențialitatea (art. 5 alin. (1) lit. f și art. 32). Într-o firmă funerară, una dintre cele mai simple e ca fiecare coleg să vadă doar ce îi trebuie. Șoferul are nevoie de adresa de preluare și de telefonul aparținătorului, dar de prețurile din contracte sau de CNP-ul celui care semnează nu are. Agentul din magazin lucrează cu datele beneficiarului și nu are ce face cu registrul de biocide.

Mai ajută două obiceiuri: câte un cont pentru fiecare om, în loc de un cont comun pe firmă, și un istoric în care se vede cine a modificat o fișă și când. Altfel, după o greșeală nu mai poți afla cine a văzut sau a schimbat datele.

Dacă datele stau într-o aplicație găzduită de altcineva, furnizorul e „persoana împuternicită de operator”. GDPR cere atunci un contract între voi, care stabilește obiectul, durata, natura și scopul prelucrării și tipul de date (art. 28 alin. (3)).

Criptarea datelor familiei

Art. 32 din GDPR dă criptarea ca exemplu de măsură de securitate, alături de pseudonimizare, și o cere „după caz”, în funcție de riscul datelor pe care le prelucrezi. Regulamentul nu o impune în orice situație. Decizia rămâne la firmă, după cât de sensibile sunt datele din dosare.

În Cortego, criptarea e opțională și se pornește din Setări. Numele, CNP-urile și telefoanele se criptează pe calculatoarele și telefoanele firmei, cu o cheie care rămâne doar la firmă, așa că nici noi, ca furnizor, nu le putem citi. Poza de la buletin, folosită ca să se completeze singure datele, servește doar la citire și nu se salvează nicăieri.

Pe pagina de confidențialitate sunt și celelalte măsuri: serverele și copiile de siguranță sunt în UE, intrăm în aplicația firmei doar dacă ne chemi la suport și fiecare acces rămâne în jurnal, iar contractul de prelucrare a datelor îl semnăm cu fiecare firmă. Cum se trec datele aparținătorului la preluare vezi în tutorialul pentru intrarea nouă.

O listă scurtă pentru firma ta

• Scrie ce date ceri familiei și la ce îți folosește fiecare. Ce nu folosești, nu mai ceri.
• Pune în scris termenele de păstrare, pornind de la cei 5 ani din HG 741/2016, art. 11.
• Fă câte un cont pentru fiecare coleg și dă-i doar accesul de care are nevoie.
• Verifică dacă ai contract de prelucrare a datelor cu fiecare furnizor care ține datele familiilor.
• Hotărăște unde stau copiile după buletine și cine are acces la ele.