Obligații GDPR & NIS2 — CAEN 6209: Alte activități de servicii privind tehnologia informației

GDPR și NIS2 pentru alte servicii IT — CAEN 6209

CAEN 6209 acoperă activitățile IT care nu se încadrează în dezvoltare software (6201), consultanță IT (6202) sau management sisteme (6203): găzduire de date și hosting, suport tehnic pentru utilizatori finali, instalare și configurare echipamente, integrare sisteme, testare software, help desk IT externalizat și altele. Profilul GDPR și NIS2 variază în funcție de natura exactă a serviciului oferit, dar obligația centrală rămâne: dacă atingi date personale ale clienților, ești procesator.

Expunerea GDPR pe tipuri de activități acoperite de CAEN 6209

• Hosting și data center privat — rol de procesator clar pentru datele găzduite; necesită DPA cu fiecare client și măsuri tehnice robuste de securitate conform art. 32
• Help desk și suport IT utilizatori — accesul la calculatoarele utilizatorilor (remote sau fizic) poate implica accesul la date personale; necesită DPA cu angajatorul utilizatorilor și proceduri clare de acces minim necesar
• Integrare sisteme — conectarea de aplicații care procesează date personale creează noi fluxuri de date care trebuie documentate în Registrul de prelucrări
• Testare software (QA) — datele de test nu trebuie să conțină date reale de producție fără anonimizare documentată; o practică frecvent neglijată în firmele de testare din România

Când se aplică NIS2 pentru CAEN 6209

Companiile din CAEN 6209 care oferă servicii B2B altor organizații pot intra în sectorul ICT service management din Anexa II NIS2, în special furnizorii de hosting și cei care oferă suport IT pentru companii din sectoare critice. Criterii: natura serviciului (esențial pentru funcționarea clientului), dimensiunea companiei (50+ angajați sau 10M+ EUR) și impactul unui incident asupra clienților. Verificatorul de mai jos calculează automat.

Documente esențiale pentru CAEN 6209

• DPA cu fiecare client la ale cărui date ai acces în prestarea serviciului
• Politica de securitate a accesului de la distanță — remote access cu MFA și înregistrare sesiuni
• Registrul de prelucrări — include toți clienții, tipul de date accesate și scopul
• Procedura de escaladare a incidentelor și notificarea clientului în cazul breșelor

Completează câmpurile de mai jos cu dimensiunea firmei tale pentru o analiză precisă a aplicabilității NIS2 și a obligațiilor GDPR complete.