GDPR

Bună ziua,

În urma analizei, revenim mai jos cu răspunsurile la întrebările formulate.

1. Școala este operator pentru datele elevilor, iar Edustream este persoană împuternicită, atât timp cât prelucrează aceste date în numele și conform instrucțiunilor școlii. A se vedea Toolkit – Ghid explicativ, p. 3.

Dacă Edustream folosește datele pentru îmbunătățirea propriului produs, situația depinde de forma datelor: dacă sunt anonimizate ireversibil, acestea nu mai sunt date cu caracter personal; dacă persoana poate fi reidentificată, Edustream trebuie să stabilească un temei juridic propriu pentru această utilizare. A se vedea Toolkit – Ghid explicativ, p. 3; Checklist-uri operaționale, p. 3.

Cererile elevilor privind accesul, rectificarea sau ștergerea datelor sunt gestionate, din punct de vedere juridic, de școală, iar Edustream îi asigură suportul tehnic necesar. Termenul general de răspuns este de o lună, cu posibilitatea prelungirii cu încă două luni. A se vedea Toolkit – Proceduri de conformare, pp. 3–4.

2. Pentru datele necesare utilizării platformei – cont, autentificare, acces la cursuri, progres, comenzi și comunicări de serviciu – temeiul este, în principal, executarea contractului. Pentru aceste prelucrări nu este necesar un consimțământ separat. A se vedea Toolkit – Proceduri de conformare, p. 2; Ghid explicativ, p. 5.

Pentru newslettere și alte comunicări de marketing, este necesar un consimțământ separat, clar și ușor de retras. Accesul la curs nu trebuie condiționat de acceptarea comunicărilor comerciale. A se vedea Toolkit – Ghid explicativ, p. 5.

În relația cu elevii, școala stabilește temeiul juridic și răspunde pentru validitatea consimțământului, iar Edustream asigură mecanismele tehnice necesare pentru exprimarea și retragerea acestuia.

3. Pentru utilizatorii din Republica Moldova, atunci când prelucrarea se bazează pe consimțământ, legea prevede că pentru copiii sub 14 ani este necesar acordul reprezentantului legal. A se vedea Toolkit – Proceduri de conformare, p. 2.

Această regulă trebuie privită împreună cu normele privind capacitatea minorilor: până la 14 ani, actele juridice sunt, ca regulă, încheiate în numele minorului de părinte sau reprezentantul legal, iar după împlinirea vârstei de 14 ani minorul le încheie, de regulă, cu încuviințarea acestuia. Prin urmare, Edustream ar trebui să poată identifica utilizatorii minori și, acolo unde este necesar, să înregistreze acordul reprezentantului legal.

Pentru utilizatorii din alte state, inclusiv România și alte state UE, pragul și cerințele aplicabile minorilor trebuie verificate potrivit legislației jurisdicției respective.

4. Nu există un termen unic de păstrare pentru toate datele. Perioada trebuie stabilită separat pentru fiecare categorie – de exemplu, date de profil, progres, corespondență sau plăți – în funcție de scopul pentru care sunt necesare și de momentul la care acesta încetează. A se vedea Toolkit – Regulamentul privind protecția datelor, p. 5.

Mecanismul Edustream prin care, la plecarea unei școli, cheia de criptare este eliminată, iar datele rămase în backup-uri nu mai pot fi citite, ștergerea sau distrugerea securizată a datelor. Acest mecanism ar trebui reflectat în politica de păstrare a datelor. Pentru datele care trebuie păstrate în baza unor obligații legale, inclusiv cele de natură fiscală sau contabilă, se vor aplica termenele prevăzute de legislația relevantă, chiar dacă scopul inițial al prelucrării a încetat. A se vedea Toolkit – Regulamentul privind protecția datelor, p. 5.

5. Mecanismul Edustream trebuie să permită ștergerea sau anonimizarea datelor nu doar în sistemul propriu, ci și la furnizorii cărora le-au fost transmise datele, atunci când aceștia trebuie informați despre ștergere sau restricționare. Păstrarea unei „amprente” în locul adresei de e-mail este posibilă dacă aceasta este ireversibilă și nu mai permite reidentificarea persoanei. Portabilitatea se aplică datelor furnizate de elev atunci când prelucrarea este automatizată și se bazează pe contract sau consimțământ; școala gestionează cererea, iar Edustream trebuie să poată furniza tehnic exportul datelor. A se vedea Toolkit – Proceduri de conformare, p. 3; Politica de securitate, secțiunea privind ștergerea și anonimizarea datelor.

6. Edustream trebuie să reglementeze contractual relația cu furnizorii care prelucrează date în numele său, inclusiv scopul și durata prelucrării, instrucțiunile, confidențialitatea, securitatea, asistența la cereri și ștergerea sau returnarea datelor. În cazul introducerii sau schimbării unui sub-procesator, școlile trebuie informate în condițiile agreate contractual. A se vedea Toolkit – Proceduri de conformare, p. 4.

Pentru transferurile către state din Spațiul Economic European (în continuare – SEE) nu sunt necesare autorizări speciale. Pentru furnizorii care pot prelucra date în afara SEE – inclusiv hostingul sau Cloudflare Stream, în funcție de locația efectivă a prelucrării – trebuie verificat dacă există o decizie privind nivelul adecvat de protecție sau, în lipsa acesteia, garanții corespunzătoare, cum sunt clauzele standard de protecție a datelor. A se vedea Toolkit – Regulamentul privind protecția datelor, p. 6. Procesatorii de plăți aleși și contractați direct de școli rămân în responsabilitatea acestora.

7. Întrucât Edustream nu colectează datele cardului, ci doar informații precum suma, data și statusul plății, volumul de date prelucrate este limitat la ceea ce este necesar pentru funcționarea serviciului, conform principiului minimizării datelor. A se vedea Toolkit – Checklist-uri operaționale, p. 3.

Datele de facturare și plată pot fi păstrate mai mult atunci când există obligații fiscale, contabile sau de arhivare. Termenele concrete nu sunt stabilite de legislația privind protecția datelor și trebuie determinate separat în funcție de legislația fiscală și contabilă aplicabilă. A se vedea Toolkit – Regulamentul privind protecția datelor, pp. 4–5.

8. Pentru activitatea Edustream în UE, obligația de a desemna un reprezentant în UE trebuie analizată potrivit GDPR. Dacă Edustream intră sub incidența GDPR pentru serviciile oferite sau monitorizarea persoanelor din UE, desemnarea reprezentantului este, în principiu, necesară, iar excepția pentru prelucrări ocazionale este puțin relevantă pentru o platformă cu activitate constantă. Desemnarea unui DPO trebuie evaluată în funcție de amploarea activității: dacă monitorizarea progresului și comportamentului elevilor este realizată periodic, sistematic și pe scară largă, obligația poate deveni aplicabilă. În schimb, pentru DPIA, recomandăm efectuarea acesteia, având în vedere monitorizarea comportamentului, utilizarea unor tehnologii automate și faptul că printre utilizatori se află minori. Legea indică expres aceste elemente drept factori relevanți pentru evaluarea unui risc ridicat. A se vedea Toolkit – Regulamentul DPIA, pp. 2–3.

Edustream trebuie, de asemenea, să țină evidența activităților de prelucrare, inclusiv separat pentru fiecare școală atunci când acționează ca persoană împuternicită. Excepția pentru companiile sub 250 de angajați nu este aplicabilă atunci când prelucrarea este regulată, cum este cazul platformei. A se vedea Toolkit – Proceduri de conformare, p. 4.

În cazul unui incident de securitate, Edustream notifică fără întârziere școala, iar aceasta, în calitate de operator, notifică autoritatea competentă, dacă este cazul, în termen de 72 de ore. Autoritatea relevantă va depinde de legislația aplicabilă și de operatorul afectat. A se vedea Toolkit – Proceduri de conformare, p. 4.

9. Pentru activitatea desfășurată în Republica Moldova se aplică Legea nr. 195/2024. Aceasta acoperă prelucrările realizate în contextul activității din Moldova și, în anumite situații, operatorii străini care vizează persoane aflate în Moldova. A se vedea Toolkit – Ghid explicativ, p. 4.

Pentru persoanele aflate în România sau în alte state UE, trebuie verificată aplicarea GDPR, inclusiv legislația locală ale statului respectiv. GDPR se aplică operatorilor și persoanelor împuternicite din afara UE atunci când prelucrarea este legată de oferirea de servicii persoanelor din UE sau de monitorizarea activității acestora.  Prin urmare, Edustream trebuie să poată adapta anumite cerințe în funcție de jurisdicție – în special cele privind minorii, autoritatea competentă și eventualele obligații specifice prevăzute de legislația locală.

Cu stimă,

Mihaela Darie | Associate

Gladei & Partners

office +373 60318000 | direct +373 69800478 | www.gladei.md