Obligații GDPR & NIS2 — CAEN 6201: Activități de realizare a soft-ului la comandă

GDPR și NIS2 pentru firmele de software development — CAEN 6201

Companiile de development software la comandă se află de regulă în rolul de împuternicit (procesator) față de clienții lor — au acces la sistemele și bazele de date ale clienților, procesează date personale ale utilizatorilor finali în cadrul proiectelor și livrează cod care va fi folosit pentru a prelucra date cu caracter personal. Înțelegerea acestui rol și a obligațiilor care decurg din el este esențială, dar adesea ignorată în firmele de software din România.

Scenarii specifice care creează expunere GDPR pentru CAEN 6201

• Acces la date de producție în cursul dezvoltării sau debugging-ului — frecvent întâlnit, impune anonimizare sau pseudonimizare a datelor de test; utilizarea datelor reale de producție în medii de dev este o încălcare GDPR
• Integrări cu API-uri terțe care transferă date personale — fiecare integrare poate constitui un nou flux de date care necesită documentare și DPA
• Livrarea de software pentru sectoare reglementate (medical, HR, financiar) — necesită privacy by design și privacy by default (art. 25 GDPR) demonstrate în documentația proiectului
• Rolul de subprocesator — dacă clienții tăi sunt și ei procesatori pentru clienții lor finali, ești subprocesator cu obligații contractuale în cascadă

NIS2 și companiile de software B2B

Firmele de software development care oferă servicii altor companii (B2B) pot intra în sectorul ICT service management din NIS2 (Anexa II). Dacă deservești clienți din sectoare critice (sănătate, energie, financiar) sau dacă o breșă în codul tău ar putea afecta semnificativ clienții, NIS2 poate fi aplicabil. Pragurile: 50+ angajați sau 10M+ EUR cifră de afaceri — calculatorul de mai jos verifică automat.

Documentele esențiale pentru o firmă de software

• DPA cu fiecare client care îți transmite date personale pentru procesare — obligatoriu art. 28 GDPR, inclus în contractul de prestări servicii
• Politica de date de test — date de producție nu trebuie folosite în medii de development fără anonimizare documentată
• Registrul de prelucrări (art. 30) — include toate proiectele în care procesezi date în numele clienților
• Procedura de notificare a breșelor — dacă descoperi o breșă care afectează datele unui client, trebuie să îl notifici imediat, fără să aștepți evaluarea completă

Verificatorul de mai jos calculează obligațiile complete pentru codul CAEN 6201, inclusiv dacă dimensiunea companiei atinge pragurile NIS2.