GDPR pentru primării — audit log, retenție și drept la ștergere

Primăriile gestionează date cu caracter personal pentru fiecare cetățean din UAT: CNP, adresă, venituri, copii, sănătate. GDPR (Regulamentul UE 2016/679) impune obligații stricte — iar nerespectarea poate costa până la 4% din cifra de afaceri.

Pe scurt: ce trebuie să facă o primărie

1. Să aibă un DPO (Data Protection Officer) — obligatoriu pentru autorități publice
2. Să țină registrul activităților de prelucrare
3. Să respecte drepturile cetățenilor (acces, rectificare, ștergere)
4. Să asigure securitatea tehnică a datelor
5. Să raporteze incidentele în 72h la ANSPDCP
6. Să facă DPIA (Data Protection Impact Assessment) pentru proiecte noi

Cum sprijină ePrimăria conformitatea

1. Registrul activităților de prelucrare

Modulul GDPR conține registrul activităților, predefinit cu toate procesele tipice ale unei primării:

• Eliberare certificate stare civilă
• Înregistrare petiții și sesizări
• Plata impozitelor și taxelor
• Registrul agricol
• Etc.

Pentru fiecare: bază legală, durata retenție, măsuri tehnice, destinatari.

2. Audit log complet

Pentru fiecare acces la date personale:

• Cine (utilizator + rol)
• Când (timestamp UTC + local time)
• Ce (entitate + ID + câmpuri accesate)
• De unde (IP + User Agent)
• Acțiune (VIEW, EDIT, DELETE, DOWNLOAD, EXPORT)

Log-ul este immutable (write-only, fără ștergere), pentru a fi probă în caz de audit ANSPDCP.

3. Drepturile cetățenilor

Drept	Implementare în ePrimăria
Acces (art. 15)	Self-service download date proprii din cont
Rectificare (art. 16)	Editare profile, cu validare manuală pentru CNP/nume
Ștergere (art. 17)	Cerere ștergere → DPO review → ștergere efectivă în 30 zile
Restricționare (art. 18)	Flag „restricționat" pe profil — datele rămân dar nu sunt procesate
Portabilitate (art. 20)	Export JSON/CSV cu toate datele proprii
Opoziție (art. 21)	Toggle „nu primesc comunicări marketing"

4. Retenție automată

Datele NU pot fi păstrate „pe veci". Pentru fiecare tip:

• Cereri și răspunsuri: 10 ani (legea arhivării)
• Loguri audit: 12-36 luni (configurabil)
• Conturi inactive: ștergere după 5 ani
• Cookies analytics: 13 luni

Cron job lunar șterge automat datele care depășesc termenul.

5. Notificare incidente

În caz de breach (acces neautorizat, leak), modulul GDPR ajută la:

• Identificare scope (ce date afectate)
• Notificare ANSPDCP în 72h cu template legal
• Comunicare către persoanele afectate
• Raport detaliat pentru audit ulterior

DPIA pentru proiecte noi

Pentru orice nou tip de prelucrare (ex. recunoaștere facială pentru sesizări), modulul include template DPIA conform Ghidului WP29.

Cookie consent

Banner obligatoriu, cu opțiuni granulare:

• Cookie-uri esențiale (fără consimțământ)
• Cookie-uri analitice (opt-in)
• Cookie-uri marketing (opt-in)

Consimțământul este logat cu IP + timestamp, retras oricând.

Concluzie

GDPR nu este doar o cerință legală — este o oportunitate de a câștiga încredere. O primărie care arată proactiv cum protejează datele este un partener serios pentru cetățean. ePrimăria îți oferă toate uneltele necesare, „compliance by design".