Desemnarea RPD

Desemnarea Responsabilului cu Protecția Datelor (RPD/DPO) conform Art. 37–39 GDPR + Legii nr. 190/2018. Documentează numirea, atribuțiile, linia de raportare și notificarea către ANSPDCP. v1 redactată la 15.05.2026.

Stadiul revizuirii juridice

Ciornă v1 redactată de dezvoltator. Consilierul confirmă (a) dacă desemnarea RPD este obligatorie (criteriile Art. 37 alin. (1)) sau voluntară, (b) procedura corectă de notificare către ANSPDCP și (c) orice atribuții specifice Legii nr. 190/2018 pe care RPD le preia. A se vedea brief-ul consilierului.

Este obligatorie desemnarea unui RPD?

Conform Art. 37 alin. (1) GDPR, desemnarea RPD este obligatorie atunci când se aplică oricare dintre următoarele:

Declanșator	Se aplică la RestartiX?
(a) Autoritate / organism public	Nu
(b) Activitățile principale necesită monitorizarea regulată și sistematică a persoanelor vizate, la scară largă	Da — telemetria de aderență a programului de telereabilitare monitorizează finalizarea sesiunilor, abandonul la exerciții, procentul de vizionare video și instrumentele clinice auto-raportate pentru ~5.000 de pacienți la lansare, cu creștere odată cu fiecare clinică tenant. Aceasta este regulată, sistematică și la scară
(c) Activitățile principale constau în prelucrarea la scară largă a datelor din categoria specială (Art. 9) sau a datelor privind condamnările penale	Da — datele privind starea de sănătate sunt tipul de date central al platformei. Chiar și la scara de la lansare de ~5.000 de pacienți, platforma este construită pentru și se angajează să scaleze clinici tenant; „scară largă" este punctul de proiectare

Concluzie: desemnarea RPD este obligatorie, nu voluntară. Se aplică două declanșatoare independente.

Suprapunere specifică României — Legea nr. 190/2018 Art. 10 desemnează de asemenea obligatoriu un RPD atunci când se prelucrează CNP, iar entitatea îndeplinește criteriile generale ale Art. 37 alin. (1) GDPR. Consilierul confirmă aplicabilitatea.

RPD desemnat

De completat înainte de publicare

Placeholder

Nume:           {{DPO_NAME}}
Funcție:        {{DPO_FUNCTION}}            // de exemplu, „Serviciu extern de RPD" sau „Senior counsel, intern"
Furnizor:       {{DPO_PROVIDER}}            // doar pentru desemnare externă
Adresă poștală: {{DPO_POSTAL_ADDRESS}}
E-mail:         dpo@restartix.pro
Telefon:        {{DPO_PHONE}}
Efectiv de la:  {{DPO_START_DATE}}          // de regulă data scrisorii de angajament

O cutie poștală dedicată dpo@restartix.pro este contactul orientat către public și este aprovizionată în check-list-ul operațional de lansare. Mesajele către această adresă sunt direcționate către RPD desemnat. Adresa este publicată în nota publică de informare privind confidențialitatea și în pagina de transparență privind subîmputerniciții.

Intern vs. extern — decizie

La scara de la lansare, platforma are practic două opțiuni:

Opțiunea 1 — Serviciu extern de RPD (recomandat la lansare)

Un cabinet specializat care acționează ca RPD externalizat. Interval de preț tipic pentru cabinetele românești specializate în protecția datelor, care furnizează RPD-as-a-Service la scara noastră: 250–600 EUR/lună, plus un proiect de configurare inițial (evaluare, revizuirea registrului, instruire), de regulă 1.000–2.500 EUR.

De ce este recomandată:

• Independența este structural mai ușor de asigurat — RPD nu raportează către operațiuni, inginerie sau marketing.
• Fluența în dreptul român al protecției datelor este standard la un cabinet specializat; personalul intern ar avea nevoie de o perioadă de acomodare.
• Angajament cu profil asigurător: cabinetul deține o asigurare profesională pe care o angajare internă nu o ar avea.
• Se aliniază cu angajamentul F11.0.5 al consilierului — același cabinet (dacă sfera permite) poate deține ambele angajamente cu un zid clar de gestionare a conflictelor de interese, SAU două cabinete separate.

Opțiunea 2 — Desemnare internă

Un membru al personalului (de regulă management senior sau counsel) desemnat și înzestrat cu statut protejat de RPD conform Art. 38 alin. (3) — nu poate fi destituit pentru îndeplinirea funcției; raportează direct managementului de top.

De ce nu la lansare:

• Headcount-ul intern nu este în vigoare. Funcția RPD singură nu justifică o angajare înainte de lansare.
• Independența față de influența operațională este mai greu de demonstrat atunci când persoana desemnată poartă și pălării de produs sau inginerie.

Decizie

Serviciu extern de RPD. Scrisoarea de angajament semnată concomitent cu scrisoarea de angajament a consilierului F11.0.5 (țintă 22.05.2026). Reevaluare la 12 luni sau atunci când headcount > 20, oricare survine mai repede.

Atribuțiile RPD (Art. 39)

RPD desemnat îndeplinește următoarele în numele {{LEGAL_ENTITY}}:

#	Atribuție	Frecvență / declanșator
1	Informarea și consilierea operatorului / persoanei împuternicite și a angajaților săi cu privire la obligațiile lor conform GDPR + Legii nr. 190/2018	Continuu; la cerere
2	Monitorizarea conformității cu GDPR + Legea nr. 190/2018, inclusiv repartizarea responsabilităților, instruirea, auditurile	Revizuire trimestrială a conformității
3	Consilierea privind DPIA / TIA, monitorizarea performanței	La cerere; aviz pe fiecare DPIA în DPIA
4	Cooperarea cu ANSPDCP	După cum este necesar
5	Punct de contact pentru ANSPDCP	Continuu
6	Gestionarea contactului persoanei vizate pentru solicitări direcționate către RPD (Art. 38 alin. (4))	La cerere
7	Revizuirea EAP, a modificărilor subîmputerniciților și a schimbărilor substanțiale ale fluxului de consimțământ	La fiecare modificare
8	Avizarea revizuirii anuale a șablonului notei de informare privind confidențialitatea (1B.10)	Anual + la modificare substanțială
9	Aprobarea modificărilor de politică privind elevarea break-glass (coduri de scop, expirare implicită etc.)	La fiecare modificare
10	Investigarea și direcționarea solicitărilor persoanei vizate privind accesul / ștergerea / rectificarea; escaladare către clinică-ca-operator pentru pacienții clinicilor tenant	La fiecare solicitare

Linia de raportare + garanțiile de independență (Art. 38)

RPD:

• Raportează direct către {{TOP_MANAGEMENT_TITLE}} (de exemplu, „Administratorul Unic al RestartiX SRL"). Nu există nivel intermediar de raportare.
• Nu poate fi destituit sau penalizat pentru îndeplinirea atribuțiilor de RPD.
• Nu primește instrucțiuni privind exercitarea atribuțiilor de RPD.
• Nu deține nicio altă poziție sau atribuție care ar conduce la un conflict de interese (Art. 38 alin. (6)). Pentru un serviciu extern, scrisoarea de angajament a cabinetului conține o clauză de gestionare a conflictului de interese.

Interfețe operaționale

RPD interacționează cu platforma prin următoarele canale:

• Cutie poștală — dpo@restartix.pro (solicitări primite de la persoane vizate, autorități, personal intern).
• Întâlnire trimestrială de revizuire — revizuire programată în calendar a EAP, a modificărilor subîmputerniciților, a scopurilor de consimțământ, a anomaliilor jurnalului de audit, a jurnalului sesiunilor break-glass, a solicitărilor deschise ale persoanelor vizate, a jurnalului de incidente.
• Consultare la cerere — aviz DPIA, aviz pentru aducerea unui subîmputernicit, revizuirea noilor funcționalități cu risc ridicat.
• Raport anual — raport scris către {{TOP_MANAGEMENT_TITLE}} care rezumă postura de conformitate a anului, incidentele, interacțiunile cu ANSPDCP, modificările recomandate.
• Acces de citire documentat în platformă — RPD are acces de citire în Consolă la: jurnalul de audit (organization_id IS NULL — la nivel de platformă), jurnalul sesiunilor break-glass, consent_purpose_versions, organization_legal_documents (pentru revizuirea actualității versiunii șablonului). Accesul nu include datele identificabile ale pacienților în afara elevării break-glass, în concordanță cu granița de persoană împuternicită.

Notificarea către ANSPDCP

Desemnarea trebuie notificată către ANSPDCP (autoritatea română de protecție a datelor) conform procedurii publicate a acesteia. Notificarea include:

• Numele RPD (sau numele cabinetului pentru desemnare externă)
• Datele de contact ale RPD
• Descrierea operatorului / persoanei împuternicite

Referința notificării: {{ANSPDCP_NOTIFICATION_REF}} (de completat odată transmisă).

Jurnal de modificări

Data	Modificare
15.05.2026	Ciornă inițială. Decizie: serviciu extern de RPD. Țintă angajament: 22.05.2026.