Pot sau nu operatorii restaurantelor și barurilor să preiau datele cu caracter personal? În ce scop și de către cine pot fi folosite datele din registrul clienților? Întrebări care apar în urma reglementărilor transmise de autorități pentru redeschiderea sectorului HoReCa. Paul Stoica, DPO – Responsabil cu protecția datelor personale și specialist soluții informatice, vine cu lămuriri concrete.

Teoria autorizației de tip GDPR

„A apărut teoria că unitățile alimentare de tip restaurante/baruri/chioșcuri nu sunt operatori de date sau că nu au autorizație de prelucrare de date, deci nu pot prelucra date. Regulamentul GDPR, intrat în vigoare in anul 2018 lămurește această problemă: este operator de date orice persoană fizică sau juridică care, singură sau împreună cu altele, stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal. Așadar, nu este nevoie de nici o autorizație pentru a intra în categoria operatorilor de date. De regulă un restaurant/bar prelucrează datele angajaților, datele persoanelor care intră în contact cu spațiul monitorizat de sisteme CCTV video sau datele cliențilorîn măsura în care aceștia și le dau pentru rezervări sau comenzi pentru livrări”, explică Paul Stoica.

În continuare, arădeanul Paul Stoica a venit cu exemple concrete în ceea ce privește întocmirea registrului de evidență a rezervărilor clienților. „Orice prelucrare de date trebuie să fie legală, echitabilă și transparență. Operatorul va trebui să identifice temeiul legal al prelucrării datelor, scopul și mijloacele prelucrării, normele adecvate de securizare a datelor, durata de păstrare a acestora, destinatarii datelor și modul de informare a clienților. În cazul de față, temeiul de prelucrare este cel dat de Ordinul de Ministru, astfel încât prelucrarea datelor devine obligație legală.

Așa cum este menționat și în Ordinul de Ministru, scopul prelucrării datelor este acela de a aduce suficiente informații pentru a permite desfășurarea unei anchete epidemiologice, în cazul identificării unor clienți care au frecventat unitatea operatorului și care sunt purtători ai virusului SARS-CoV-2. Este evident că autoritățile publice urmăresc interesul public în domeniul sănătății publice și protejarea populației de expunerea la boală COVID-19”, spune Stoica.

Ce date pot colecta operatorii?

Potrivit aceluiaşi documente, operatorii vor trebui să colecteze datele de contact minime ale clienţilor, respectiv numele (prenumele) şi numărul de telefon.

„Ordinul de Ministru nu impune o formă a acestui registru – poate să fie scrisă de tip caiet, poate să fie un set de fișe de rezervări grupate pe zile și ore sau poate să fie în format electronic de tip Word/Excel.Trebuie subliniat, însă, că operatorul nu are abilități de a legitima clienții, ceea ce oricum ar fi o măsura excesivă. Așadar, se recomandăca clientul săîși completeze singur datele. Nu se recomandă prelucrarea datelor din buletin sau fotografierea acestora”, mai punctează Paul Stoica.

Cine va ajunge în cele din urmă la aceste date? Paul Stoica vine să confirmă că „în conformitate cu scopul prelucrării acestor date, operatorii vor trebui să le transmită, la cerere, doar autorităților abilitate să facă anchete epidemiologice (DSP) și doar în situații justificate (în cazul unor cazuri confirmate de infectări cu SARS-CoV-2)”.

În final, Paul Stoica menționează că deși operatorii ar putea să folosească datele în alte scopuri, precum transmiterea unor informații despre evenimente sau oferte deosebite, totuși, datele sunt colectate într-un scop foarte clar: un potențial triaj epidemiologic. „Prin urmare, orice folosire a datelor în alte scopuri este o prelucrare ilegală”, explică în mod clar Paul Stoica.