Cu o experiență de peste 13 ani în proiecte de audit (internet banking, securitate IT, proiecte IT, proiecte finanțate prin fonduri UE), consultanță (continuitatea afacerii, analiză de impact, analiza decalajelor, evaluarea  maturității  proceselor,  evaluarea  riscurilor, soluții tehnice de securitate – DLP, SIEM, endpoint etc), implementarea de  standarde  și  bune  practici  de  securitate (ISO 27001, COBIT, ISO 20000/ITIL) și instruire IT&C (CISA, CIPM), Adrian  Munteanu este profesor universitar doctor în cadrul Facultății de Economie și Administrarea Afacerilor – Univ. Alexandru Ioan Cuza din  Iași,  unde  predă  securitatea  informațiilor,  auditul sistemelor informaționale, guvernare și managementul serviciilor IT. În perioada  2017 -2018 a fost președintele  filialei din  România a  IAPP (International  Association  of  Privacy Professionals). Este  expert  ENISA  (European  Union  Agency  for  Network  and Information Security, 2014) în domeniul managementului riscurilor. De asemenea, este Certified Information Privacy Manager (CIPM) Computer Information System Auditor (CISA), Certified in Risk and Information Systems Control  (CRISC) COBIT Foundation Certificate, ITIL Foundation Certificate.

La invitatia Dpo-NET.ro - Data Protection Officers Network, acesta a acceptat să răspundă in exclusivitate la unele din cele mai arzătoare întrebări în domeniul protecției datelor din România.

Scopul GDPR-ului nu este de a da amenzi ci de a proteja persoanele. Cu toate acestea, după 3 ani de la intrarea în vigoare a Regulamentului doar 67% dintre Europeni au auzit de GDPR, în timp ce doar 36% au declarat că știu ce este acest regulament (date prezentate de Comisia Europeana în sondajul Eurobarometru). Credeți ca aceste cifre sunt rezultatul dezinteresului persoanelor în ceea ce privește de protejarea datelor lor?

AM: Putem să ne întoarcem în timp, în 2001 – cînd a apărut directiva europeană sau chiar mai devreme, la începutul Internetului. Păstrînd raportul, lucrurile au evoluat. Poate nu cu viteza dorită, dar cu certitudine gradul de conștientizare în aceste vremuri este mai mare. Nu cred că este „dezinteres„ ci mai degrabă lipsă de informare sau de explicații. Omul de astăzi caută să obțină lucrurile cît mai repede, cît mai ușor, cu un click. Și pînă nu este afectat direct, nu acordă importanță subiectului.

Pentru că nu a fost informat încă, acordă mai puțină importanță datelor oferite pe un site și mai multă reducerii sau prețului produsului/ serviciului pe care și-l dorește.

Educația însă ar trebui să înceapă din primii ani de școală: cum cauți informații pe Internet? Cum deosebești informațiile false? Cum identifici un site fals? Ce date oferi și de ce?

Care credeți ca vor fi consecințele acestei lipse de conștientizări a importantei datelor în rândul persoanelor, pe termen lung?

AM: : Sunt destul de sceptic. Consider că acum, la gradul de dezvoltare al tehnologiei – machine learning, artificial intelligence, big data, analytics – lupta cu apărarea vieții private în online este aproape pierdută. De fapt acum cred că facem „damage control„ – încercăm să protejăm ce se mai poate. Genetic nu sîntem ființe etice iar economic nu luăm decizii raționale. Vor exista în continuare suficienți oameni care își vor oferi datele în contrapartida unui bun sau serviciu.„Technics get the job, business does the money„. Trăim într-o economie bazată pe servicii în care informațiile despre consumator (comportment) sînt combustibilul cu care se alimentează motorul vînzărilor on-line. Ori de cîte ori constrîngerile/regulile contravin credințelor/dorințelor noastre sau cîștigul obținut va fi mai mare decît costul, vom fi dispuși să încălcăm regulile.

Un studiu ASCPD atragea atentia la inceputul acestui an asupra acestor statistici din unitatile medicale Romanesti: 37,44% din instituţiile sanitare cuprinse în analiză s-au confruntat cu incidente de securitate şi cu toate acestea 73,85% din total nu au implementat un plan de reacţie la incidentele de securitate. De asemenea, sondajul a scos în evidenţă că 70,26% încă folosesc adrese de email @yahoo.com şi @gmail.com în interes profesional în interiorul reţelei, expunând astfel organizaţia unor riscuri care pot fi evitate. Din sondaj a mai reieşit că 11,28% nu au implementat sisteme tehnice de protecţie antivirus, cel mai des invocând lipsa fondurilor. Cum comentati aceste rezultate ?

AM: Din interacțiunile mele, consider că situația este chiar mai gravă decît o relevă sondajul. Văd lucruruile din două perspective: una financiară și una care ține de viziune/strategie.

Pentru un spital, o investiție în licențele pentru o soluție antivirus reprezintă o sumă mare și nu este în prim planul obiectivelor. Dacă mai adăugăm protecția bazelor de date, soluții DLP etc…deja discutăm de sume consistente. Ar trebui să spună managerii spitalelor ce procent din bugetul anual al unui spital este alocat investițiilor, din acesta cît reprezintă investiții IT și din acestea cît investiții în Securitate. Vom discuta de procente mult subunitare, care tind spre zero. Prin urmareș știrile nu îmi spun nimic nou.

Cea de a doua perspectivă, are în vedere „rotița„ numită spital, ce face parte dintr-un angrenaj/sistem mai mare. Deși avem din 2013 o strategie de securitate cibernetică, abia odată cu transpunerea Directivei NIS în legislația națională se încearcă a se face ceva în direcția securității informațiilor. Sistemul informațional al unui spital nu este o insulă pe care o protejezi singular.

Având în vedere atacurile cibernetice asupra sistemului sanitar românesc din ultimele saptămâni, ce măsuri considerați că trebuie luate imediat ?

AM: Este cam dificil să ofer un răspuns general valabil în cazul spitalelor deoarece managementul este cel care a decis în fiecare caz în parte. Majoritatea spitalelor folosesc sisteme la cheie, fie pe serverele proprii, fie pe serverele furnizorilor. Informațiile medicale ajung și în SIUI sau la alți furnizori de servicii, chiar furnizorul soluției are de obicei acces total la datele medicale. Aș fi curios să citesc informații cu privire la numărul spitalelor publice din România care au un departament IT și numărul de angajați din departament.

Teoria ne învață despre „security by design„ -  adică să ne gîndim la protecția informațiilor încă din faza de proiectare/achiziție a unui sistem. Astfel costurile vor fi cu totul altele.

GDPR se referă la același lucru, scris altfel: „asigurarea protecției datelor începând cu momentul conceperii și în mod implicit „. Pornind de la această cerință putem să estimăm ce costuri presupune „pseudonimizare„ sau „criptarea datelor„. Se face cu ajutorul algoritmilor proprietari SGBDR-ului folosit de aplicații? Se cumpără o soluție la cheie? Cine face analiza? Cine identifică rolurile, drepturile și permisiunile?

Întrebările ar trebui să continue și vom ajunge la următoarele măsuri/soluții/controale minimale: criptare/pseudonimizare; copii de siguranță și arhivare; clasificarea datelor; prevenirea pierderii datelor (DLP); managementul conturilor utilizatorilor (inclusiv conturile privilegiate); managementul incidentelor; antivirus; managementul amenințărilor... Protecția datelor trebuie asigurată în toate cele 3 situații în care acestea se pot afla: utilizate, în tranzit sau stocate. Dacă am pune pe hîrtie costurile, vom constata că sînt mari. Foarte mari pentru o organizație iar pentru un spital, cred că sînt considerate enorme.

Dar asta nu este o scuză. Pentru că o mulțime din cerințele GDPR ar fi trebuit puse în practică începînd cu anul 2001 cînd a intrat în vigoare fosta lege 677.

Știrile din presă despre incidente de securitate confirmă că nu sînt deloc puține cazurile din practica autohtonă în care conformitatea înseamnă să te acoperi de hîrtii. Aproape nimeni nu verifică dacă ceea ce este scris prin acele hîrtii chiar funcționează în realitate. Cam asta se întîmplă și acum.

Este esențial ca persoanele să identifice prelucrările ilegale de date pentru a-și putea exercita drepturile. Cât este de important sa-ți cunoști drepturile atâta timp cât nu poți identifica o prelucrare ilegală? Pe ce ar trebui să se axeze campaniile de informare a persoanelor?

AM: : Utilizatorul obișnuit nu are de unde să știe dacă o prelucrare este ilegală sau nu. Este responsabilitatea managementului organizației să prelucreze datele legal.

Pentru că sînt și auditor, eu plec de la premisa că o prelucrare este legală dacă este permisă de lege („tot ce nu este permis, este interzis„) și nu dacă nu este interzisă de lege („tot ce nu este interzis, este permis„).

O campanie de informare ar trebui să fie simplă, într-un limbaj accesbil oricui, fără „legaleză„ sau „securITeză„. Aș spune că orice informație, implicit deci și datele personale, au valoare: pentru organizații; pentru individ, pentru societate și pentru terți. Aș prezenta exemple cu „suferința„/„daunele„ semenilor ale căror date au fost prelucrate ilegal, folosind ca exemplu furtul de identitate care poate conduce la pierderi financiare.

Am citit cît am putut despre amenzile date de autoritățile din țările UE. Nu am identificat nici o știre în care să se menționeze și ce prejudicii/daune au suferit oamenii afectați.

Care credeți că ar fi cea mai scurta cale spre creșterea gradului de conștientizare și complianta GDPR: educarea persoanelor sau educarea operatorilor?

AM: Educația/școala indivizilor, plecînd de la concret la abstract și nu invers cum se practică acum. Generațiile care vin din urmă sînt generații care s-au născut și au crescut cu tehnologii despre care noi, la aceeași vîrstă, nici nu știam că există. Ni le închipuiam de prin literatura SF

Organizațiile fac afaceri. Afacerile presupun riscuri pe care managementul și le asumă. Și acum, după mai bine de 2 ani, percepția este că dacă ai informare pe site, semnătura anagajatului, un cookie manager și un fișier Excel cu „evidența activităților de prelucrare„, se poate spune că ești „conform cu GDPR„. Multe organizații percep acest regulament ca o constrîngere ce induce costuri suplimentare și inutile.

În România, până în acest moment s-au acordat trei amenzi pentru nerespectarea GDPR deși autoritatea condus aproape 1.000 de investigații, adoptând o atitudine orientată spre prevenție și dispunerea de măsuri corective. Considerați că Amenzile au un rol important în aplicarea GDPR-ului? Din experienta dvs practică, cei mai mult operatori se conformeze cu GDPR-ul din responsabilitate sau de frica amenzilor?

AM: După cum am spus și anterior, o afacere înseamnă riscuri iar noi oamenii nu sîntem proiectați să fim etici. În prezentări folosesc de multe ori Biblia pe post de exemplu, cu scuze dacă unii consieră că fac o blasfemie. Dar și acolo, in metafora cu alungarea din Rai, avem o inteligență artificială, ceva machine learning, o amenințare și lipsa eticii.

Indiferent dacă vorbim de organizație sau individ, comportamentul este același: facem sau nu facem unele lucruri din 3 motive- de frică, pentru o recompensă sau din conștientizarea lucrului rău/incorect.

Credeți că instituțiile publice ar trebui sa fie un exemplu pentru restul operatorilor? Punem această întrebare pentru că în Romania avem un tratament preferențial pentru instituțiile publice, amenda maxima pentru nerespectarea GDPR-ului fiind de 200.000 lei (aproximativ 42.000 euro), cu mult inferior față de ceea ce risca operatorii privați.

AM: Nu am înțeles această diferențiere din legea noastră. În unele situații acea amendă va fi inferioară costurilor cu măsurile tehnice. Prin urmare de ce ar cheltui cineva mai mult decît amenda? Care și așa nu se aplică în momentul constatării neregulilor...

Aduc in discuție cartea unui laureat Nobel în Economie: Douglas North.

În studiul său instituţiile sînt definite ca fiind regula jocului. Instituţiile pot să includă familia, firma de curînd înfiinţată, pieţele de capital, sistemul de creditare bancară, sistemul juridic, clauzele contractuale, etc. În momentul în care regulile jocului oferă o motivaţie consistentă cu interesul individual, comportamentul oamenilor se va conforma în general regulilor formale (legislaţia, clauzele contractuale de exemplu). Dar dacă aceste reguli formale intră în conflict cu interesul individual, atunci oamenii vor fi motivaţi să încalce aceste reguli şi să suporte consecinţele acţiunilor realizate. Prin urmare, instituţiile determină costul tranzacţiilor şi influenţează alegerea indivizilor!

Instituțiile ar trebui să fie un exemplu pentru că este vorba de cetățenii statului nu de „clienți„

Cu toate că România înregistrează cel mai scăzut nivel de utilizare a serviciilor de internet dintre statele membre ale UE, 86 % dintre utilizatorii români de internet au conturi pe rețelele sociale, ceea ce ne face campionii Europei la acest capitol. Având în vedere scandalurile imense în care au fost implicate rețelele de socializare, fie prin breșele de securitate, fie prin utilizarea ilicită a datelor, putem considera că suntem și cei mai vulnerabili. Cum considerați ca ar trebui să se comporte un utilizator de internet, dacă ar fi constient de riscurile pe care internetul le ascunde?

AM: Nu știu cît de vulnerabili sîntem luați ca întreg. Dacă este conștient de riscuri, utilizatorul va ști și cum să se comporte. Dacă nu, va plăti, iar într-o bună zi își va da seama și cît l-a costat. Cînd numărul celor care consideră că „nu au nimic de ascuns„ se va reduce simțitor, vom putea spune că lucrurile au intrat pe drumul cel bun.

Accesul copiilor la internet este deja o normalitate. Ar trebui acest lucru sa ne îngrijoreze? Considerați că o educație privind privind accesul la internet al copiilor ar trebui sa fie o sarcina a părinților sau sistemul de învățământ ar trebui să-și asume acest rol?

AM:  Accesul la tehnologie nu trebuie să îngrijoreze pe nimeni. Evoluția este firească, avansul tehnologic este firesc. Căruța a fost înlocuită de automobil și oamenii nu mai mor călcați de cal ci în accidente auto. Cînd în 2009 ni se vorbea despre wireles ca fiind ceva comun, ni se părea greu de acceptat. Toate lucrurile au un ciclu de viață.

Cea mai bună și sigură investiție pe care o poate face un adult este în educația copiilor săi. Astfel ei vor deveni la rîndul lor niște adulți „mai buni„ iar evoluția este asigurată.

Școala este pe primul loc cînd discutăm despre „învățare„. Părinții sînt cei care ar trebui să dea coordonatele morale/etice ale copilului iar școala ar trebui să fie cea care instruiește. La o întrebare anterioară am spus despre spitale că sînt o „rotiță„ dintr-un sistem mai mare. Școala este altă „rotiță„

Facebook a lansat Study, un program de cercetare de piață bazat pe recompense. Cum vi se pare un asemenea concept: să fim plătiți pentru datele pe care le facem publice? Este acesta direcție una corecta?

AM: Piața trebuie să fie liberă. Rațiunea de fi a oricărei organizații este satisfacerea nevoilor acționarilor. Discuția este mai degrabă despre etică. Iar aici fiecare este liber să decidă după propriile principii.

Pot da alt exemplu care se aseamănă. Un lanț de magazine a lansat carduri de fidelitate. Cardul este nominal, acumulezi puncte ori de cîte ori faci cumpărături. Magazinul oferă și reduceri la anumite produse, moment în care punctele acumulate pot fi folosite. Constat însă că au trecut mai bine de două luni de cînd nu am văzut nici o reducere, a nici un produs. Și-a oferit clientul date personale contra cost? Bineînțeles. Magazinul analizează comportamentul clienților? Cu siguranță. Așa funcționăm noi.

Conform unui raport DLA Piper (GDPR data breach survey: February 2019), de la data aplicării GDPR-ului și pana în februarie 2019, Autoritatea de supraveghere din Olanda înregistrase 15,400 de notificări de breșe, în timp ce România număra la acea vreme doar 270. Care credeți că este motivul acestei discrepanțe? Suntem noi romanii un popor norocos și breșele de securitate ne evită, ori nu recunoaștem o breșă de securitate nici dacă ne împiedicăm de ea?

AM: Cred că mai degrabă ne încadrăm în a doua situație. Am impresia că și aici sînt mai multe cauze: rușinea și frica. Rușinea de a recunoaște că ai o problemă sau ai greșit ceva, respectiv frica de sancțiune. S-ar mai putea adăuga și...neștiința. Poate unii nici nu știu ca datele lor sînt pierdute, furate, vîndute.

Identificarea riscurilor este unul din cei mai importanți pași spre complianta GDPR. Dar dacă noi nu resuim sa identificam nici breșele, cum am putea identifica riscurile?

AM: Mă feresc să folosesc sintagma „conformitate GDPR„. Evaluarea riscurilor este o cerință, nu doar în GDPR, cu ajutorul căreia identifici în final controalele de care ai nevoie.

Teoria riscurilor este destul de complicată. Organizațiile își doresc „modele„ cît mai simple. Din păcate acest lucru nu se poate. Încerc să simplifică puțin lucrurile. Într-o organizație se întîmplă niște procese prin care se livrează bunuri și/sau servicii. Procesele implică oameni și aplicații/tehnologie. Aplicațiile implică echipamente/tehnologie și oameni. Procesele au nevoie de controale pentru ca lucrurile să se desfășoare într-un anumit fel.

Pentru a ști care sînt riscurile din IT (aplicații, echipamente și resurse umane critice) trebuie mai întîi să cunosc care sînt considerate a fi procesele/serviciile critice de către organizație. Chiar dacă discutăm despre riscuri IT, evaluarea acestora nu este doar sarcina departamentului cu același nume. Din perspectiva unui departament IT nici nu există riscuri. Cei din zona economicului au riscuri: să nu livreze bunui și servicii care, au „în spate„ tehnologie.

Impresia mea este că multe organizații au identificat riscuri doar cu privire la partea formală a cerințelor GDPR.

A trecut un an de la intrarea în vigoare a GDPR-ului. Ce s-a schimbat în decursul acestui an?

AM: Îmi este greu să pun un diagnostic general valabil. La începutul anului 2017 intereseul era destul de redus. Apoi, în 2018 a existat ceva efervescență din partea tuturor actorilor implicați. Nu pot să nu amintesc numărul imens de „consultanți GDPR„ care au apărut de nicăieri.  Este însă o evoluție firească. După cum spuneam, și aici discutăm tot despre un ciclu de viață.

Cum vedeți implementarea Directivei NIS în România? Care sunt cele mai mari provocări ? Ce măsuri au fost luate până în prezent ?

AM: Sectorul privat are cea mai mare competență în domeniul securității informatice, motiv pentru care  el trebuie să fie implicat activ în domeniul securității IT. Ori eu constat că acest lucru nu prea se întîmplă. Altfel nu îmi explic de ce, atunci cînd o lege este pusă în dezbatere publică și se primesc propuneri, nu prea se ține cont de nimic din cele ce vin dinspre industrie.

Legea 368/2018 a avut o viață cam complicată iar rezultatul mi se pare stufos, neclar ca terminologie și pe ici pe colo incomplet. Sînt acoperite aspecte care intră și sub incidența GDPR și de aici avem o anumită terminologie/cerințe. Băncile au reglementări/recomandări/ghiduri specifice (a se vedea EBA sau regulamentele BNR) dar intră și sub incidența acestei legi.

Mi-aș fi dorit să regăsesc în lege sintagme precum: „stadiul actual al tehnologiei„, „securitate implicită și din momentul proiectării„ sau „responsabilitatea managementului„,.Legea menționează „categorii„ de activități și pentru acestea vor fi elaborate „norme tehnice„. Dar sînt și „cerințe minime de securitate„.

GDPR-ul face referire la „proporționalitatea„/„adecvarea„ măsurilor de securitatea.

Legea 368 impune și ea obligativitatea operatorilor de servicii esențiale să implementeaze măsurile tehnice și organizatorice adecvate și proporționale.

Eu am o anumită înțelegere asupra „proporționalității„ și „adecvării„, dar mă întreb: oare o fi corectă, atît timp cît legea nu spune la ce se referă cele două carcateristici?

Cine credeți ca ar trebui să se implice mai mult în diseminarea importantei datelor personale? Instituțiile publice, Autoritățile naționale de supraveghere sau ONG-urile din domeniul protecției datelor?

AM: Cît de mult ar trebui să se implice cei nominalizați de dvs. îmi este cam greu să spun. Pot însă să afirm că este o responsabilitate partajată: părinți, școală, ANSPDCP, ONG-uri. Fac însă o mențiune: ONG-urile fac muncă voluntară și nu se pot substitui unor responsabilități ce revin instituțiilor publice. Acestea din urmă ar cam trebui să fie în linia întîi.

Data de 25 mai 2020 a marcat 2 ani de la implementarea regulamentului GDPR in Uniunea Europeana. Au fost doi ani plini de schimbari, atat pentru utilizatori, cat si pentru companii, dar, mai ales, pentru specialistii in protectia datelor. Cu această ocazie, colegii noștri de la SYPHER au realizat acest articol colaj in patru parti, care prezinta 2 ani de GDPR din perspectiva mai multor profesionisti in domeniul protectiei datelor.

Cum ati caracteriza, pe scurt, cei doi ani care au trecut de la implementarea GDPR in Uniunea Europeana?

Pentru Bogdan Manolea, au fost “doi ani destul de complicati. Pe de o parte, cei care au crezut ca dupa 25 mai 2018 se va sfarsi lumea si va incepe o noua era in protectia datelor personale, pot fi dezamagiti de un sistem greoi, unde de la teorie la practica e cale lunga, iar partea de aplicare arata limitele autoritilor (umane, financiare, de cunostiinte tehnice), dar si al neplanificarii (aplicarea pare mai degraba haotica si selectiva, decat un proces riguros si logic). Pe cealalta parte, cei care au crezut ca dupa 25 mai 2018 nu se va intampla absolut nimic, pot sa se simta si ei dezamagiti.  Amenzi se dau, ba chiar si la cei mici si chiar la persoane fizice. Autoritatile par a fi mai decise sa aplice textele legislative decat inainte, iar subiectul protectiei datelor personale este mult mai vizibil.”

Din punctul sau de vedere, cel mai important castig al industriei a fost ca “Toata lumea din zona de business digital stie de GDPR”.

In opinia lui Serban Popa, consultant GDPR la Unity Solutions, “Principalele caracterisitici dupa intrarea in vigoare a noului regulament au fost lipsa de intelegere, mai ales de partea responsabililor din entitatile ce opereaza cu date cu caracter personal, varietatea si ambiguitatea diverselor solutii de conformare la noul regulament puse la dispozitie de o multime de specialisti, mare majoritate fara expertiza si experienta. Au urmat luni de evenimente ce au produs mici miscari de trupe in anumite domenii; au inceput mai ales in firmele serioase si mari sa se desfasoare procese de analiza complexe”.

Totodata, Serban Popa mentioneaza ca, dupa mai bine de un an, cand au inceput si avertismentele si amenzile din partea autoritatii, “lumea/operatorii au inceput sa inteleaga ca avem o noua entitate de reglementare similara cu cea din domeniul concurentei. Au aparut o serie importanta de clarificari la nivel de EDPB si, mai ales, din partea DPA-urilor vestice cu traditie”.

Pentru Raluca Puscas, avocat asociat la Filip & Company,“Cel mai vizibil efect este cresterea gradului de constientizare, atat la nivelul organizatiilor, dar si la nivelul cetatenilor, asupra aspectelor legate de protectia datelor. GDPR apare in discutie din ce in ce mai des atunci cand sunt abordate subiecte din diverse zone, incepand cu securitatea datelor pe internet, mesaje si campanii de marketing, comert online si, mai recent, in context de telemunca sau al masurilor luate in cadrul starii de urgenta / alerta”.

Ea puncteaza un un alt aspect extrem de important si anume, faptul ca, este vorba despre un proces continu. Raluca Puscas remarca, de asemenea, “ca a crescut preocuparea pentru asigurarea securitatii datelor, prevenirea pierderii datelor si incorporarea cerintelor de privacy in ariile de activitate sau a produsele noi pe care companiile doresc sa le dezvolte”.

Stefan Iancu, consultant GDPR in cadrul companiei iPrivacy, afirma ca legislatia referitoare la GDPR “a determinat acordarea unei atentii sporite protectiei datelor cu caracter personal atat in Europa, cat si in afara ei. Tot mai multe state sunt interesate in implementarea de legislatii similare. Desi majoritatea operatorilor nu au fost atat de pregatiti pe cat era de asteptat, aspect demonstrat si de amenzile aplicate in Europa (peste 270), majoritatea operatorilor continua in mod proactiv eforturile de conformare”.

Din punctul sau de vedere, “Numarul de amenzi aplicate este relativ mic prin comparatie cu numarul sesizarilor, iar cuantumul acestora tinde sa fie mai aproape de minimul prevazut de Regulament, daca le raportam la cifra de afaceri. De exemplu, chiar si cea mai mare amenda, ca valoare nominala, aplicata British Airways, 204,600,000 EUR, reprezinta 1,5%din cifra de afaceri a operatorului”.

Roxana Mitroi, avocat in cadrul bpv GRIGORESCU STEFANICA, observa “o tendinta tot mai mare de constientizare a protectiei ce trebuie oferita datelor cu caracter personal. Acest aspect se remarca la nivelul tuturor organizatiilor, avand in vedere ca prevederile regulamentului se aplica tuturor companiilor, fie ca vorbim de organizatii internationale, fie ca vorbim de organizatii autohtone. Este adevarat, ca in mod cert, unele industrii sunt mai expuse decat altele, in special prin prisma volumului mare de date personale ce sunt prelucrate sau chiar al complexitatii operatiunilor de prelucrare efectuate”.

Un alt aspect important semnalat de Roxana Mitroi  este ca, „principalii jucatori au inteles ca prevederile GDPR nu pot fi ocolite prin formule contractuale care sa aloce raspunderea catre terti, catre persoanele vizate sau chiar sa le inlature raspunderea. Astfel, pentru ca s-au lovit de o constientizare rapida a impactului puternic pe care il poate avea pierderea, stergerea, sustragerea sau chiar un incident de securitate asupra datelor cu caracter personal, pentru unii operatori de date, calatoria spre conformarea cu prevederile GDPR a inceput din timp, dinainte de implementarea prevederilor GDPR la nivelul legislatiilor nationale. De asemenea, dupa doi ani de la aplicabilitatea prevederilor GDPR la nivel national, in acest domeniu se observa un ritm de munca sustinut. Acest ritm de munca continuu vizeaza inclusiv momente ulterioare finalizarii implementarii, datorita fluxurilor si proceselor de prelucrari ce pot suferi diferite modificari in timp.  De asemenea, pot interveni si procese noi de prelucrari a datelor, fapt ce poate duce la noi provocari cu privire la analizarea gradului de conformare cu prevederile GDPR”.

In opinia lui Marius Dumitrescu, specialist GDPR, “GDPR-ul nu este o revolutie, este o evolutie!”. El remarca faptul ca, “In Romania, GDPR-ul a intrat brusc in vietile noastre, acum doi ani de zile, printr-un bombardament al consimtamintelor, lansat de operatori din dorinta de a intra rapid in legalitate. Din pacate, si astazi mai exista operatori care folosesc consimtamantul ca temei legal pentru prelucrarea datelor privind sanatatea persoanelor vizate si deduc, astfel, ca DPO-ul nu si-a castigat inca locul pe care il merita in organizatie si recomandarile lui inca nu sunt ascultate”.

El mai semnaleaza faptul ca “In ultimii doi ani, strategia de vanzari a multor firme de consultanta s-a bazat pe crearea panicii, folosind marketingul inselator care accentua, in primul rand, dimensiunea astronomica a amenzilor, in loc sa promoveze nevoia de instruire a personalului. Platim si astazi campaniile de marketing de acum doi ani care vindeau complianta formala fara a include serviciile de specialitate ale unui DPO”.

Marta Popa, Senior Partner la Voicu si Filipescu SCA, mentioneaza ca: “Regulamentul GDPR a fost <<problema anului 2000>> in domeniul protectiei datelor, nu doar in Europa, ci in intreaga lume. Organizatiile s-au straduit sa se conformeze, de teama consecintelor. Dar limbajul GDPR este foarte sofisticat, uneori vag, astfel incat, procesul de conformitate a fost marcat de incertitudini pentru multe organizatii, publice sau private. Ne asteptam sa apara si alte reglementari in domeniul protectiei datelor, inclusiv in zona de E-Privacy si vom vedea o crestere a impactului si a aplicarii legislatiei, inclusiv in ceea ce  priveste amenzile. Ne putem astepta ca si Brexit-ul sa impacteze unele companii din punct de vedere GDPR. Alte motive de ingrijorare se refera la recomandari in procesarea datelor legate de sanatate in contextul pandemiei de COVID-19 sau inteligenta artificiala (AI).

Marta Popa concluzioneaza: “Cei doi ani de GDPR au adus, cu siguranta, multe beneficii companiilor. In primul rand, GDPR a dus la o mai buna gestionare a datelor si a managementului datelor. In al doilea rand, protectia datelor a fost adusa in atentia managementului superior, ceea ce este o consecinta pozitiva. Si, in al treilea rand, companiile care au investit in conformitate beneficiaza de o crestere a gradului de incredere din partea clientilor si a partenerilor de afaceri”.

Astăzi, 25 mai 2020, se împlinesc doi ani de la aplicarea Regulamentului general privind protecția datelor personale (GDPR), moment prielnic pentru noi toți de a realiza o scurtă retrospectivă și de a trage câteva concluzii esențiale. Au fost multe provocări, atât pentru DPO cât și pentru operatorii de date care și-au propus să obțină și să mențină conformitatea GDPR. Cel mai important  lucru este să folosim pe viitor lecțiile deja învățate și tocmai despre aceste lecții vorbește Marius Dumitrescu, specialist în domeniul protecției datelor, în următorul interviu. 

Cum ai caracteriza, pe scurt, cei doi ani care au trecut de la implementarea GDPR în Uniunea Europeana?

"GDPR-ul nu este o revoluție, este o evoluție!", așa îmi încep majoritatea cursurilor încercând să explic că acest pachet de reglementări legislative există încă din 1995 și a evoluat într-un regulament european unic, influențat mai ales de dezvoltarea tehnologică fără precedent. Mai mult, putem spune că și în acest moment legislația aleargă după tehnologie, dacă ne gândim doar la inteligența artificială și la tehnologia 5G.

Regulamentul UE 679/2016 cunoscut drept GDPR a intrat în vigoare în 2016, acum patru ani de zile, dar se aplică doar din 25 mai 2018, după o perioadă de grație de doi ani, pe care majoritatea statelor europene, inclusiv România, nu au folosit-o pentru a lansa campanii de educare a persoanelor vizate și a operatorilor. Astfel, startul a fost dat în luna mai 2018, la momentul respectiv existând o estimare că doar 20% dintre operatorii europeni au început demersurile pentru a obține conformitatea. Aceste procent a crescut semnificativ valoric, fiind estimat astăzi ca fiind peste 60%, dar am rețineri privind calitatea conformităților obținute la nivel european. Conform studiilor, în 2019 s-a ajuns deja la crearea primelor 500.000 de roluri de DPO, fără a modifica fundamental organigramele și fără a asigura toate resursele necesare pentru a îndeplini cu succes acest rol. Operatorii de date trebuie să renunțe la a mai căuta soluții formale și să înțeleagă faptul că această mult dorită complianță GDPR nu se obține apăsând butonul "Print" și că orice operator care alege această cale rămâne la fel de expus riscurilor.

În România, GDPR-ul a intrat brusc în viețile noastre, acum doi ani de zile, printr-un bombardament al consimțămintelor, lansat de operatori din dorința de a intra rapid în legalitate. Din păcate și astăzi mai există operatori care folosesc consimțământul ca temei legal pentru prelucrarea datelor privind sănătatea persoanelor vizate și deduc, astfel, că DPO-ul nu și-a câștigat încă locul pe care îl merită în organizație și recomandările lui încă nu sunt ascultate.

În ultimii doi ani, strategia de vânzări a multor firme de consultanță s-a bazat pe “crearea panicii”, folosind marketingul înșelător care accentua, în primul rând, dimensiunea astronomică a amenzilor în loc să promoveze nevoia de instruire a personalului. Plătim și astăzi campaniile de marketing de acum doi ani care vindeau complianță formală fără a include serviciile de specialitate ale unui DPO.

Astazi, mai mult ca oricând, trebuie să ne reamintim că în tot acest GDPR este vorba despre oameni, sau mai bine spus despre NOI! Nu este vorba despre creșterea birocrației și despre proceduri sufocante. Este vorba despre respectul pe care trebuie să îl acordăm și să îl obținem unii de la ceilalți, respect de care am uitat datorită banilor obținuți prin tranzacționarea datelor personale și a informațiilor confidențiale, ca efect direct al evoluției exponențiale a tehnologiei. Să nu uităm că toți suntem persoane vizate. Dacă la birou nu simt acest lucru pentru că sunt patron și influențez și decid direct în ce direcție îmi conduc firma, atunci când navighez pe internet sau pur și simplu merg pe stradă, intru într-un supermarket sau într-un hotel, sunt doar o persoană fizică și mă aștept să pot să decid cine, de ce și ce date personale prelucrează despre mine. Cu toții trebuie să punem umărul și să vorbim cu prietenii, rudele, vecinii despre erorile pe care le facem atunci când vânăm gratuități pe internet. Trebuie să încetăm să mai credem că ceva este gratuit și să înțelegem că, de fapt, plătim scump cu datele noastre personale care au devenit o valoroasă monedă de schimb.

Și mai trebuie să învățăm o lecție : „Când ești cunoscut, oamenilor le place să vorbească despre tine. Totuși, nu tot ce se vorbește, este și adevărat!”. Încă trebuie să învățăm ce înseamnă Fakenews, să recunoaștem acest fenomen, să ne protejăm, să nu mai alimentăm cererea și să sancționăm atunci când această practică ne influențează deciziile.

Care consideri că a fost cea mai mare provocare pentru specialiștii în protecția datelor personale?

Persoana fizică în sine a rămas cea mai mare provocare pentru întreg domeniul protecției datelor din România, deoarece, prin lipsa de cultură, întreg corpul profesional se confruntă cu solicitări nejustificate și insuficient documentate privind ștergeri selective sau rectificări neîntemeiate a informațiilor înregistrate în documente. Cu siguranță aceste solicitări nu vor fi soluționate în favoarea persoanei vizate, existând mai multe reglementări specifice în ceea ce privește termenul de retenție și posibilitățile de acces restricționat și condiționat. Gardianul modului în care se respectă confidențialitatea și mecanismele de protecție a datelor cu caracter personal rămâne în continuare Responsabilul cu protecția datelor cu caracter personal (DPO), această meserie nou apărută, care se confruntă probabil cu cele mai mari provocări profesionale datorită caracterului general al Regulamentului (UE) 2016/679 și lipsei unor repere unitare privind interpretarea și implementarea lui.

Poate și denumirea postului, care induce ideea responsabilității concentrate pe umerii unei singure persoane, a îngreunat ascensiunea și recunoașterea profesională, mulți DPO făcând educație managementului în momentul semnării contractelor de consultanță.

Care a fost cea mai mare provocare a companiilor în procesul de obținere și menținere a conformității GDPR?

Angajații reprezintă unul dintre cele mai mari riscuri în ceea ce privește securitatea unei organizații. Și nu spun eu asta, mergând pe principiul 80/20 al lui Pareto, transpus în business (80% din probleme sunt cauzate de 20% dintre angajați), ci studiul State of Cybersecurity 2019 realizat de ISACA.

Din punctul meu de vedere, cea mai mare provocare a companiilor în procesul de obținere și menținere a conformității GDPR este carența unei culturi a responsabilității, în rândul angajaților, privind protecția datelor personale. Acesta carență poate fi diminuată substanțial în urma instituirii unor programe de instruire cu privire la importanța protecției datelor în concordanță cu practicile generale și politicile specifice activității companiei. Responsabilizarea angajaților din perspectiva protecției datelor personale va aduce un plus de valoare companiei. Un angajat conștient și informat este un angajat vigilent și care acționează cu responsabilitate, riscurile unei erori umane scăzând, în același timp în care randamentul muncii crește. Mai mult, identificarea rapidă a eventualelor breșe de securitate și respectarea protocolului de răspuns la incidente va minimiza pierderile companiei.

Rămân un visător și sper ca în următoarea perioadă să vedem campanii de educare a persoanelor vizate din România, și de ce nu, campanii de educație în scoli.

Care a fost cea mai importantă lecție pe care companiile, dar și specialiștii în protecția datelor personale au învățat-o în această perioadă?

Constat că în ultimele două luni, de când a fost recunoscută oficial pandemia Covid -19, s-a vorbit despre GDPR mai mult decât în toată perioada de când a intrat în vigoare Regulamentul UE 679/2016 și este trist că a fost nevoie de acest coronavirus ca să-i acordăm atenția pe care o merită.

Societatea în care trăim s-a schimbat, fiind supusă la unul din cele mai dificile teste de stres. Frica este cea care a obligat societatea noastră să se adapteze și să se maturizeze forțat, făcând, în primul rând, un salt mare către digitalizare. Vorbim astăzi mai mult ca niciodată despre tele-muncă, tele-medicină, tele-educație și mai ales despre știrile false.

Fiind un act de responsabilitate să stăm acasă în aceste condiții, utilizăm din ce în ce mai mult tehnologia, din dorința de a comunica cu cei dragi și cu colegii de serviciu. Am auzit că s-au organizat zile de naștere online, că oamenii au continuat să se întâlnească și să bea o cafea cu prietenii, printr-o conexiune video și că se pot vizita muzee sau chiar să participi la concerte din confortul fotoliului de acasă. Citim cărți pentru care până acum nu găseam timpul necesar. Pentru o parte din oameni, autoizolarea este un test greu de trecut și de suportat și nimeni nu conștientizează, încă, faptul că procesul de autoizolare socială este un fenomen apărut o dată cu rețele de socializare. Se vorbește de ani de zile de această tendință de a petrece mai mult timp în casă, conectat cu mii de prieteni online, cu care poate nu te-ai întâlnit niciodată față în față. Astăzi, mai mult ca niciodată, prețuim interacțiunea fizică și testăm efectul nociv și pervers al dezinformărilor care abundă pe rețelele de socializare. Este o lecție pe care am învățat-o în timpul acestei pandemii și cred că societatea noastră nu va mai fi niciodată la fel ca înainte.

Trebuie să realizăm și că toată această digitalizare, pe repede înainte, vine la pachet cu asumarea unor riscuri de care mi-aș dori să fim conștienți încă de la început.

Nu cred că suntem pregătiți încă să îmbrățișăm digitalizarea și să ne folosim la maxim de beneficiile acesteia. În urma recomandărilor autorităților din România, mai multe companii au decis să accepte, de pe o zi pe alta, ca angajații să lucreze de acasă. Din punct de vedere legal eram pregătiți, legislația română avea prevederi clare privind tele-munca și cele mai multe firme au semnat acum cu fiecare angajat doar un act adițional la contractul de muncă, pentru a îndeplini această formalitate birocratică. Foarte puține firme au investit în securizarea echipamentelor și a căilor de comunicare, alegând deseori soluțiile cele mai rapide și ieftine, utilizând de cele mai multe ori echipamentele proprii ale angajaților.

În ultimele zile chiar am urmărit cum a crescut numărul incidentelor de securitate, prin campanii de phishing, infectând mii de computere, bazându-se pe naivitatea utilizatorilor care acum citesc orice email legat de acest Coronavirus. Din păcate, foarte multe afaceri au de suferit și, mai mult decât efectele acestei pandemii, mă sperie valul de recesiune care ne va lovi peste câteva luni.

Mi-aș fi dorit să vorbim de digitalizarea mediului de business românesc, precum și a administrației publice, în alte condiții decât cele de astăzi.

Revenind la domeniul protecției datelor, chiar dacă DPO-ul este captiv între obligațiile legale impuse de legile organice, care pot limita drepturile persoanelor, și principiile și obligațiile GDPR, există, în opinia mea, o rețetă pentru a asigura un echilibru între toate aceste reglementări:

1. Implicarea DPO-ului. El este specialistul care astăzi poate să consilieze și să ghideze organizația în respectarea GDPR și păstrarea acestui echilibru cu obligațiile legale și interesele comerciale.
2. Respectarea celor șapte principii fundamentale ale GDPR. Aceste principii trebuie să devină o realitate, trebuie să fie implementate în orice fel de procedură, ca niște filtre care trebuie aplicate înainte de a lansa orice tip de document, orice fel de procedură.
3. Informarea persoanelor vizate. Este foarte ușor să investim în această informare prealabilă și să obținem, practic, o implicare și motivarea acestor persoane, pentru că, în fond, toate aceste proceduri restrictive sunt în interesul lor, al protecției datelor lor cu caracter personal.
4. Instruirea persoanelor și obținerea de garanții adecvate. Trebuie să fim foarte atenți atunci când datele angajaților noștri, sau datele clienților noștri, datele vizitatorilor noștri sunt prelucrate de către împuterniciții noștri ca operatori și să ne asigurăm că sunt implementate măsuri tehnice și organizatorice de protecție și securitate a acestor date personale pe tot procesul de prelucrare.
5. Evaluarea nivelului de prelucrare a datelor (de exemplu, dacă este excesiv) și identificarea unor metode mai puțin intruzive de prelucrare a datelor personale, fără a creste birocrația. Să nu uităm că DPO-ul este cel care poate evalua dacă discutăm de un nivel excesiv de prelucrare a datelor, trebuie să încercăm să limităm înscrisurile, astfel încât să nu creștem birocrația doar de dragul de a ne acoperi cu documente justificative privind respectarea acestei legi. Respectarea tuturor celorlalte principii GDPR s-ar face mult mai ușor dacă principiul minimizării ar fi respectat întocmai și pun accent mai ales pe acest lucru, deoarece noi, românii, companiile românești, instituțiile statului am ridicat birocrația aproape la nivel de tradiție. Nu tot ce e mult e și bun, un singur document bine întocmit și cu responsabilitate mă protejează la fel de bine ca zece documente pline de date personale nefolositoare, dar colectate pe sistemul „să fie”.

Concluzionez că această rețeta nu se aplică exclusiv în această perioadă de pandemie, cele cinci recomandări fiind aplicabile oricărei organizații care își propune în următorul an să își adapteze cultura organizațională și să îmbrățișeze principiile GDPR.