Regulamentul si impactul sau asupra caselor de schimb valutar

Incepand cu 25 mai 2018, Regulamentul a abrogat si a inlocuit Directiva nr. 95/46/EC privind protectia persoanelor fizice in ceea ce priveste prelucrarea datelor cu caracter personal si libera circulatie a acestor date (art. 94 din GDPR).

Regulamentul are aplicabilitate directa in toate Statele Membre in baza art. 288 din Tratatul pentru Functionarea Uniunii Europene. In consecinta, incepand cu 25 mai 2018, Legea nr. 677/2001 se adauga la Regulamentul (UE) 2016/679 pentru protectia persoanelor cu privire la prelucrarea datelor cu caracter personal si libera circulatie a acestor date. Totusi, trebuie precizat ca o conformare cu dispozitiile Regulamentului (UE) 2016/679 implica o armonizare cu prevederile Legii nr. 677/2001, avand in vedere gradul mai ridicat de protectie oferit de normele RGPD, iar o eventuala neconcordanta intre dispozitiile Regulamentului si cele ale Legii nr. 677/2001 va fi solutionata in favoarea Regulamentului (UE) 2016/679 (avand in vedere preeminenta dreptului european).

Regulamentul general pentru protectia datelor (GDPR) se aplica de la data de 25 mai 2018. El impune, printre altele, ca orice companie care ofera produse sau servicii persoanelor fizice din Romania si din Uniunea Europeana sa poata dovedi ca prelucrarile de date cu caracter personal, precum, colectarea, utilizarea, stocarea si schimbul de date se realizeaza in conformitate deplina cu prevederile sale.

GDPR nu se aplica prelucrarii datelor cu caracter personal care privesc persoane juridice si, in special, intreprinderi cu personalitate juridica, inclusiv numele si tipul de persoana juridica si datele de contact ale persoanei juridice, spre exemplu: acronimului S.R.L., denumirii, adresei de e-mail (care nu contine elemente de identificare a unei persoane fizice).

In sensul Regulamentului, un operator de date cu caracter personal este o persoana care, in mod singular sau in comun cu altii, determina scopurile si modul in care se prelucreaza datele cu caracter personal. Operatorul este cel pentru care se

realizeaza prelucrarea datelor, chiar daca operatorul nu realizeaza el insusi nicio prelucrare.

Fiecare operator de date ar trebui sa instituie masuri corespunzatoare si specifice pentru garantarea demnitatii umane, a intereselor legitime si a drepturilor fundamentale ale persoanelor vizate, in special in ceea ce priveste transparenta prelucrarii, transferul de date cu caracter personal in cadrul unui grup de intreprinderi
sau al unui grup de intreprinderi implicate intr-o activitate economica comuna si sistemele de monitorizare.

Drepturile si beneficiile legate de prelucrarea datelor cu caracter personal in contextul activitatii de schimb valutar trebuie respectate pentru evitarea amenzilor. In conceptia Regulamentului, sanctiunile civile (raspunderea civila) pot coexista cu cele administrative. Sanctiunile administrative (amenzi) vor fi aplicate de catre autoritatea de supraveghere si pot fi destul de impovaratoare.

Incalcarile obligatiilor prevazute in Regulament pot atrage amenzi administrative de pana la 2% din cifra de afaceri la nivel mondial sau de pana la 4% din cifra de afaceri
la nivel mondial, luandu-se in calcul valoarea cea mai mare.

Avand in vedere ca, in desfasurarea activitatii specifice, prelucrati date cu caracter personal, Regulamentul va fi incident si in privinta dumneavoastra. Astfel, in calitate de casa de schimb valutar nu veti putea evita regimul juridic instituit de GDPR, deoarece in mod frecvent prelucrati date personale, practic in permanenta, ca parte a activitatii dumneavoastra de baza (ex. inregistrare clienti, stabilirea identitatii clientilor, completare formulare, realizare tranzactii de schimb valutar, obtinere informatii conturi bancare ale clientilor (cand este cazul), identificare elemente de siguranta ale documentelor de identitate in functie de tipul de client, gestionare incidente/evenimente de risc, elaborare rapoarte, adrese, instiintari catre organele competente/statistici lunare catre BNR, operatiuni cu banca etc.).


Totodata, in calitate de casa de schimb valutar prelucrati datele personale ale propriilor salariati, inclusiv date personale sensibile, cum ar fi datele biometrice, pozele din actele de identitate, date privind sanatatea (SSM, PSI), atunci cand e cazul si, eventual, utilizati date cu caracter personal in scopuri de marketing.

De asemenea, o companie ce pune la dispozitia publicului serviciul de schimb valutar poate prelucra date cu caracter personal ale reprezentantilor legali ai partenerilor asociati/ai societatilor din grup sau ale furnizorilor de servicii.

Prelucrarea datelor cu caracter personal trebuie sa fie realizata cu respectarea principiilor prevazute in art. 5 din Regulament:

1. datele cu caracter personal trebuie prelucrate in mod legal, echitabil si transparent;
2. datele cu caracter personal trebuie prelucrate pentru scopuri determinate, explicite si legitime;
3. datele cu caracter personal trebuie sa fie adecvate, relevante si neexcesive;
4. datele cu caracter personal trebuie sa fie exacte si actualizate;
5. datele cu caracter personal trebuie sa fie pastrate pe o perioada care nu depaseste perioada necesara prelucrarii pentru scopul identificat;
6. datele cu caracter personal trebuie sa fie prelucrate intr-un mod care asigura securitatea adecvata a acestora.

Desi suna teoretic, in realitate aceste principii sunt foarte importante in practica, intrucat ele trebuie avute in vedere mereu in activitate, in ce priveste toate prelucrarile de date cu caracter personal. In plus, aceste principii vor fi avute in vedere de Autoritatea Nationala de Supraveghere a Prelucrarii Datelor cu Caracter Personal (ANSPDCP), atat in activitatea de control, cat si la individualizarea sanctiunilor care vor fi aplicate.