Adriana Ceaușescu este Ofiter Securitatea Informatiei si Protectia Datelor pentru companii din domeniul Asigurarilor si Sanatatii și a urmat cursurile IAPP, participând totodată la intocmirea codului de conduita în domeniul asigurarilor, alaturi de cei mai experimentati profesionisti in protectia datelor din asigurari. În domeniul Securitatii Informatiilor este Auditor ISO 27001. Adriana Ceaușescu a făcut parte din echipa care a câștigat titlul de "GDPR Summer Challenge Champion" 2019 în cadrul competiției lansate și organizate de portalul dpo-NET.ro

Poveste-ne un pic despre tine ca persoană, ca experiență, despre proiectele sau realizarile din domeniul protecției datelor. 

AC: Numele meu este Adriana Ceaușescu, lucrez ca Data Protection Officer pentru o clinică, pentru un magazin online foarte cunoscut, o societate de asigurări și am mai multe proiecte de IMM și învățământ. Experiența mea din aceste domenii cumva m-a ajutat să pot să fac fata cerintelor situațiilor din concurs.

Când ai descoperit domeniul protecției datelor și cum?

AC: Lucrând în partea de marketing online și web development, practic m-am ocupat de tot ce ține de dezvoltare și de a avea o prezenta online corespunzătoare, am avut contact la un moment dat cu o companie care a fost sancționată pentru că nu folosea un modul de cookie, asta întâmplându-se înainte de 25 mai 2018, ziua din care GDPR-ul este aplicabil. Am stat și am analizat domeniul, m-am informat, am implementat acel modul, am început să citesc și să înțeleg legislația națională și europeană și de atunci practic pot să spun că am început să pun cărămidă cu cărămidă la specializarea mea în acest domeniu.

Ai avut tendința la început sa obții certificări naționale sau internaționale, ai participat la cursuri ?

AC: Sunt de părere că pentru a începe să lucrezi într-un domeniu atât de nou cum este protecția datelor trebuie să ai niște cursuri, o îndrumare. Într-adevăr am citit foarte multe documente, am studiat legislația, ghiduri, jurisprudența din domeniul protecției datelor, dar am ales să urmez cursurile IAPP, International Association of Privacy Professionals, respectiv certificările CIPP/E si  CIPM. La finalizarea acestor cursuri am dat și un examen care nu era cum am visat eu, din aspecte teoretice. Toata lumea știe cum se desfășoară cursurile din România, se predau la curs aspecte teoretice și când ajungi să implementezi, cand te lovesti de practică, ai o problemă. La fel au fost și cu examenele, pe care le-am picat și m-am hotărât să obțin această certificare după ce consider ca am acumulat destul de multă experiență încât să nu mai am emoții.

A fost demotivant momentul în care ai picat acel examen?

AC: Nu, pentru mine a fost un moment în care mi-am dat seama că degeaba știi teorie dacă nu cunoști practica și cred că tocmai asta ne separa pe noi, Responsabilii în protecția datelor de un avocat. Un DPO lucrează zi de zi, se lovește de situații, de moduri în care trebuie să implementeze cerințele Regulamentului, în timp ce un teoretician va ști mereu ce trebuie făcut doar la nivel de teorie.

Știu ca ești și membru al Asociației Specialiștilor în Confidențialitate și Protecția Datelor. Cum ai făcut acest pas? De ce ai luat decizia sa te înscrii în o asociație?

AC: Sunt membră pentru că îmi doream sa aparțin unei comunități de specialiști care pot să mă ajute atunci când am situații la care nu sunt sigură ce trebuie să fac și vreau să vă spun că avem grupuri pe rețele de socializare unde ne ajutam. Am o problemă și obțin imediat mai multe sfaturi de la colegi. De asemenea vreau să vă spun că în proiectele derulate de Asociație nu am avut mare implicare dar eu mă mândresc, promovez asociația ori de câte ori pot, la diferitele emisiuni radio sau TV la care am participat și în cadrul întâlnirilor cu alți DPO la care am participat, tot timpul dau exemplul Asociației „Veniți,  înscrieți-vă aici că veți obține sfaturi, informații și recomandări de la specialiști din domeniu, specialiști poate cu mult mai multă experiență decât aveți voi sau din industrii pe care voi nu le cunoști, specialiști cărora poți să le ceri sfaturi și care îți vor oferi soluții. 

A trecut mai mult de 1 an de zile de când se aplică acest Regulament European. Care crezi că a fost cea mai mare provocare în aceasta perioada ?

AC: În primul rând instruirea și conștientizarea angajatorilor la nivelul implementării cerințelor GDPR într-o companie. Am apoi am avut situații în care conștientizarea managementului cu privire la faptul că trebuie să aibă în vedere și să respecte cerințele Regulamentului lăsa de dorit. Nu poți aborda protecția datelor spunând „ asta vreau, asta nu vreau, respectarea GDPR-ului nu poate fi negociată. Apoi cred că modul de lucru în anumite compani mari, care au structuri greoaie, departamente care nu comunica, care practic sunt stat în stat. În altă ordine de idei în România observ că alegerea unui DPO este tratată superficial de manageri. Să luam o instituție publica ca exemplu, pentru ca aici am întâlnit cele mai multe situații de genul acesta, îi este mult mai ușor să numească un DPO formal, adică secretara, pe care o trimit la un curs și se așteaptă ca acea secretară să facă față tuturor situațiilor complicate. Luăm exemplul școlilor, în general secretara este DPO. Secretara nu știe ce să facă și nu mai afișează anumite informații pe care trebuia sa le afișeze la avizier, deși poți să ai soluții. Un DPO ar trebui sa vină cu soluții ca să poți să afișezi. Nu există conștientizare la nivel de top management, conștientizarea angajaților lipsește deseori și de foarte multe ori este dificil sa impui o cultura organizationala în ceea ce privește protecția datelor. Oamenii nu vor să mai facă și altceva pentru ca este un efort. Respectarea Regulamentului este un efort din partea angajatului în plus față de ce are de făcut și sunt cumva reticenți. Sper ca în următorul an sa găsim măsuri prin care să putem sa ameliorăm aceste discrepanțe.

Asta era următoarea întrebare, ce vezi util a se intampla în următorul an?

AC: Cred ca după un an, fiecare companie ar trebui să tragă linie și să vadă cum stă. Pur și simplu să-și facă un audit intern, o verificare. „Hai sa vedem cum stăm noi din punct de vedere al respectării Regulamentului. Suntem conformi,  unde avem probleme?”. Mă aștept ca aceasta analiză să fie făcută până la sfârșitul lui decembrie 2019, astfel incat la începutul lui 2020, începaâd din ianuarie, să repare acele probleme legate de implementare, pentru că sunt sigură ca nu exista companii 100% conforme din punct de vedere al GDPR-ului. La asta mă aștept. Să instruiască mai mult și să conștientizeze mai mult angajații, să facă simulări din punct de vedere al incidentelor de securitate și să le explice de ce este important să raporteze. Foarte mulți dintre angajați, nu știu dacă cum să recunoască și să raporteze un incident de securitate. Nu identifica faptul că, de exemplu, pierderea unui document, pe strada, fie ca este vorba de document fizic sau nu, este breșă și trebuie să o raporteze superiorilor. Nu le taie nimeni capul dar incidentul trebuie raportat, trebuie analizat, ca să împiedici riscul de a fi amendat și riscurile de a încălca drepturile unei persoane vizate.

Cum ai descoperit acest concurs care s-a desfășurat în august, organizat de dpo-net?

AC: Pai, în primul rând că sunt foarte activă și citesc toate informațiile care îmi vin prin social media și online. Sinceră să fiu chiar îmi doream de mult un asemenea exercițiu, să pot să testez și eu cum aș face într-o anumită situație, cum as reacționa în altă situație. Așa am descoperit, prin intermediul internetului. Concursul în sine dar și organizarea lui pot să  spun că merită toate laudele. Ideea a fost fantastică și vă mai spun ceva, am avut o situație în concurs cu privire la acordarea unor informații către poliție. Ei bine, vreau să vă spun că aceeași situație s-a întâmplat în practica, pentru mine la câteva zile distanță. Am avut o asemenea solicitare adresată unei companii unde activez ca Data Protection Officer și cumva m-a bufnit râsul pentru că deja știam ce să fac, cum sa fac, totul a decurs fără nici o problemă. M-am bucurat, zic ”uite, am o practică, am o experienta, știu cum să aplic, nota 10”.

Cum a fost experinta concursului? A fost dificil? Cat timp ti-a luat? Cum a fost să-ți cunoști echipa?

AC: Cu ocazia participarii la concurs m-am hotarat sa îmi iau concediu, mai mult decat ar fi trebuit. Era și perioada vacanței prelungite, când toată lumea stătea la mare sau se plimba, iar eu mă trezeam de dimineață și vroiam să văd ce provocări am primit ca să pot să reacționez, să pregătesc împreuna cu echipa documentele pe care trebuia sa le avem pentru a lua măsurile ce se impuneau. N-a fost ușor, deci n-a fost ușor deloc, dar uite că împreună cu colegii mei am reușit să facem cât mai bine cu putință față unor situații legate de GDPR. 

Care a fost cea mai mare lecție pe care ai primit-o în relația cu colegii tai?

AC: În primul rând, să lucrez în echipă. Eforturile din punct de vedere al GDPR-ului sunt eforturi de echipa, un DPO trebuie sa învețe să lucreze împreună cu juridicul, împreună cu IT-ul, împreună cu managerul de resurse umane, cu top managementul, trebuie să știe să-și formeze o echipa și atunci pentru mine a însemnat foarte mult. În unele situații nu eram de acord cu colegii mei dar văzându-le elanul am zis ok, e de preferat să fim o echipa și fiecare ne împarțeam task-urile, am lucrat foarte bine cu ei. Culmea, nu știam cine sunt, de unde sunt și am aflat ulterior concursului  că unul dintre coechipieri merge la aceeași sală de fitness cu mine și mai mult decât atât locuiește în orașul în care locuiesc eu.

Trebuie să menționâm că  echipele au fost alese aleatoriu și nu se cunoșteau înainte și nici jurații nu au jurizat în cunostinta componenței echipelor.  Ce înseamnă pentru tine titlul de GDPR Summer Challenge Champion?

AC: Vă spun sincer că nu m-am așteptat. Am făcut greșeli în timpul concursului, mi-am și dat seama apoi, deci au fost și din partea noastră niște scăpări. E normal, nu suntem perfecți, suntem perfectibili. Pentru mine, concursul aceasta înseamnă multă experiență acumulată, înseamnă a învăța cum să lucrezi cu o echipă, a învăța să delegi task-uri și mai mult decât atât, am învățat că este importantă practica. Este importantă experiența pe care o câștigi, mai mult decât teoria. Degeaba mergi la un curs dacă nu practici ceea ce înveți la curs. Teoria trebuie aplicată iar aplicabilitatea ei este mai dificilă.

Mai ții legătura cu colegii tai de echipa?

AC: Da, clar! Vă spuneam că unul dintre colegii de echipa este coleg cu mine la sală, ne-am și întâlnit la sală și am hotărât să ieșim, împreună cu alți specialiști din domeniu, să discutăm despre proiecte, despre situația GDPR din țară și din domeniile în care activăm. Cu celelalte colege avem un grup pe Facebook, ne mai trimitem situații mai cerem păreri „uite am situația asta, ce trebuie să fac?” și fiecare vine cu recomandări. Da, ținem legătura, de asemenea și pe platforma pe care concursul s-a desfășurat sunt discuții, avem informații, mai vin și studii de caz. Ținem legătura și m-ar bucura să rămână comunitatea stransa și în jurul  platformei online construite.

Concluzionând, ce sfat ai avea pentru o persoana vizată și ce sfat ai avea pentru un reprezentant al unui operator, unul din top management?

AC: În primul rand, persoanele vizate ar trebui să înțeleaga ca datele lor cu caracter personal înseamnă bani, sunt o valută, au o valoare toate datele și atunci, de fiecare dată când li se solicită aceste date cu caracter personal, să se întrebe de ce. „De ce aveți nevoie de copie după cartea mea de identitate?”. Este acea teorie a celor 5 „De ce” ca să ajungi la adevăratul scop.

O teorie pe care copii mici o știu foarte bine.. 

Da, și pe care noi adulții o uităm. Deci, în primul rând să fie conștienți că datele lor reprezinta o valoare și să își cunoască drepturile. Au drepturi prin GDPR  și știu că foarte mulți români sunt supărați pe bănci, poate nu ar trebui sa spun, dar când te duci ți se face o copie după cartea de identitate care, în unele situații înseamnă prelucrare abuzivă. Dacă schimbă mai puțin de 3000 de euro nu se încadrează la a fi frauda. Nu ne vom putea opune, dar ar trebui să întrebăm de ce.

Pentru operatori, să înteleagă că nu este la latitudinea lor, ca vor sau nu vor. Respectarea cerințelor Regulamentului este o obligativitate, ai obligația aceasta și nu poți să o faci formal. Niște hârtii nu-ți rezolva partea de respectare a datelor cu caracter personal ci trebuie să se implice și dacă nu exista implicarea top managementului atunci proiectul acesta nu va avea succes de la început. Top managementul trebuie conștientizat. Trebuie să înțeleagă importanța respectării drepturilor persoanelor vizate și protejarea datelor cu caracter personal. 

Ce sfaturi ai pentru specialiști și viitorii specialiști în protecția datelor ?

AC: Niciodată să nu te oprești din învățat, niciodată să nu te oprești din citit, din documentat, niciodată să nu te oprești din a înțelege industriile în care activezi, sa le înțelegi specificul, să le înțelegi legislația și să te întâlnești cu specialiștii din domeniul respectiv. Adică dacă lucrezi în domeniul medical, discută cu medicii, vezi care sunt problemele pe care le au ei, explică-le și tu. Eu chiar fac pentru medicii cu care colaborăm pastile video de 5 minute, odată pe săptămână am o pastila video care se pune în sala de mese. 5 minute le ia, cât mănâncă se pot uita. Adică pe deoparte să conștientizeze iar pe de alta parte să nu înceteze niciodată să se documenteze, să învețe tot timpul pentru că este un domeniu în care dacă nu ții pasul nu poți să faci față. Lucrurile se schimbă foarte, foarte rapid.

Mai  este un mesaj la care eu țin foarte mult, ținând cont că a început școala, m-aș bucura ca toți copii, cadre didactice, părinți, să înțeleagă că și minorii au drepturi, să înțeleagă că pozele pe care noi le punem pe Facebook cu copii noștri ar trebui limitate. Ar trebui sa nu mai partajăm atât  de multe informații despre ei. Au drepturi și trebuie sa le respectăm datele lor cu caracter personal. 

Aștept următoarea ediție, GDPR Winter Challenge din ianuarie 2020, să vedem cat de solicitantă va fi!

Daniela Simionovici a absolvit cursurile Universității Ștefan cel Mare din Suceava, specializarea Asistență socială și un master în consiliere și administrare resurse umane la aceeași universitate. A absolvit cursul postuniversitar de “Protecția datelor cu caracter personal” organizat de Facultatea de Drept și Științe Administrative ale aceleiași universități sucevene. Este membru ASCPD și a obținut titlul de „Cel mai bun DPO din România” împreună cu Echipa Nord Est DPO România la Târgu Mureș în iunie 2019. În calitate de Senior Partner la NeoPrivacy România, oferă consultanță în domeniul implementării Regulamentului general privind protecția datelor (GDPR) și oferă și servicii de Responsabil cu protecția datelor personale în regim externalizat (DPO). Participă constant la seminare, dezbateri și conferințe dedicate protecției datelor personale și împărtășește din experiența sa scriind articole și cărți dedicate domeniului protecției datelor din perspectiva practicianului. La sfârșitul lunii Septembrie 2020 a moderat Webinarul LIVE dpo.TALKS unde alături de Mihai Ghiță, Cofondator Sypher Solutions, a analizat provocările profesionale ale DPO-ului în contextul actual.  

Daniela a acceptat să ofere un interviu în exclusivitate pentru cititorii dpo-NET.ro, reușind să ne trezească interesul tuturor pentru un subiect atât de important pentru orice companie care își propune să adopte și să implementeze principiile GDPR: “Amenzile GDPR”. 

Dacă ar fi să facem o radiografie succintă a amenzilor GDPR la nivel european, cum ar arăta?

D.S.: Respectarea dreptului persoanelor vizate la protecția datelor este un drept fundamental, chiar dacă nu este absolut, iar acest lucru presupune că operatorii de date personale trebuie să-și îndeplinească obligațiile care le revin conform prevederilor GDPR.

Indiferent de domeniul specific de activitate al operatorilor sau al PI, indiferent dacă sunt sau nu obligați să numească un DPO sau să întocmească evidențele prevăzute de art. 30, toți operatorii de date personale sunt obligați să respecte principiile GDPR și vom face trimitere explicită la respectarea principiului responsabilității, adică la faptul că toți operatorii și PI trebuie să facă dovada că respectă și implementează corect prevederile GDPR, lucru care, dacă se întâmplă, reduce semnificativ riscul amenzilor GDPR.

Motivele pentru care s-au aplicat cele mai multe amenzi GDPR în acest an au fost stabilirea incorectă sau insuficientă a temeiului legal de prelucrare a datelor și corelarea acestuia cu scopurile prelucrării și insuficiența măsurilor tehnice și organizatorice de securitate a datelor implementate de operatori se află în topul european, dar și în cel românesc în ce privește numărul și cuantumul amenzilor GDPR aplicate de autoritățile de supraveghere și nerespectarea principiilor GDPR de prelucrare a datelor. 

Care este mesajul, legat de aceste amenzi GDPR, pe care un operator de date ar trebui să îl rețină?

D.S.: Se vorbește foarte mult despre amenzile GDPR, despre cuantumul acestora, despre caracterul disuasiv, sau nu al acestora, dar se pierde din vedere faptul că măsurile corective sunt mult mai importante și cu consecințe mai grave decât amenda, per se, în sensul în care, spre exemplu, unui operator căruia i se stabilește măsura corectivă a suspendării chiar și temporare a prelucrării datelor personale, până la corectarea deficiențelor constatate de autoritatea de supraveghere, înseamnă că, nemaiputând să prelucreze date personale, operatorul își suspendă, de fapt, activitatea până când autoritatea ridică măsura suspendării prelucrării datelor.

Am dori să atragem atenția asupra prevederilor art. 29, alin. (2) din Procedura ANSPDCP de efectuare a investigațiilor unde se precizează: „(2) Introducerea contestației [Împotriva procesului-verbal de constatare/sancționare și/sau a deciziei de aplicare a măsurilor corective – n.a.] suspendă NUMAI plata amenzii, până la pronunțarea unei hotărâri judecătorești definitive.”

Operatorii ar trebui să fie conștienți de faptul că, și dacă remediază imediat deficiențele constatate de autoritate și pentru care s-a aplicat măsura corectivă a suspendării prelucrării datelor personale, acest lucru nu înseamnă că autoritatea de supraveghere se mișcă la fel de repede. Prin urmare, riscă să se confrunte cu o perioadă destul de lungă în care nu își pot desfășura activitatea! Ca atare, o amendă, deși nu e de neglijat, mai ales dacă suma este foarte mare, nu înseamnă decât bani, totuși, pe când suspendarea activității pe perioade oricât de scurte ar putea însemna pierderi financiare mult mai mari.

Ați moderat Webinarul dpo.Talks de la sfarsitul lunii septembrie. Care este cea mai surprinzătoare concluzie la care ați ajuns? 

D.S.: Constat ca există o preocupare reală în rândul DPO din toate entitățile legate de numirea forțată a acestora pe postul de DPO, de multe ori în situații evidente de incompatibilitate. Numirea / desemnarea forțată și de formă, pe hârtie, a unui DPO este o realitate care poate avea și chiar are consecințe negative sub aspectul amenzilor GDPR. O soluție pentru evitarea amenzilor GDPR în acest caz, dar și pentru păstrarea unui mediu de lucru armonios într-o entitate ar fi ca operatorii să convingă și să motiveze, nu să oblige un angajat să devină DPO, să-i liniștească temerile și să-l facă să accepte cu ușurința aceste noi sarcini, mai ales dacă acest salariat vede că operatorul se implică, îi alocă resurse de toate tipurile, dacă operatorul conștientizează faptul că trebuie să cheltuie suplimentar pentru instruirea DPO-ului și pentru formarea continuă a acestuia etc. Relația între DPO și operator nu trebuie să se desfășoare de pe poziții de forță, ci pe un nivel de cooperare și colaborare responsabilă. Evitarea situațiilor de incompatibilitate se poate face aplicând un filtru relativ simplu: DPO-ul nu poate desfășura alte activități care l-ar pune în situația de a se audita/monitoriza singur, iar în Ghidul privind responsabilul pentru protecția datelor (DPO), raportat la art. 37-39 din RGDP se găsesc toate îndrumările de care un operator ar avea nevoie pentru a desemna un DPO în mod corect. Numirea unui DPO incompatibil este purtătoare de sancțiuni, iar soluția evitării amenzilor GDPR în acest caz este exact opusul acestei realități, adică numirea corectă a unui DPO evitându-se situațiile de conflict de interese și de incompatibilitate.

Are DPO-ul român resursele necesare pentru a-și desfășura activitatea ?

D.S.: Foarte mulți DPO sesizează și reclamă faptul că nu au resursele necesare pentru a-și desfășura activitatea. Asigurarea resurselor pentru această activitate este obligația operatorului, iar în Regulament sunt menționate explicit și resursele care trebuie alocate, inclusiv pentru instruirea DPO-ului, nu doar cele care vin imediat în mintea unui operator, cum ar fi birotică, papetărie și cam atât. În acest sens, art. 38, alin. 2 este cât se poate de explicit: “(2) Operatorul și persoana împuternicită de operator sprijină responsabilul cu protecția datelor în îndeplinirea sarcinilor menționate la articolul 39, asigurându-i resursele necesare pentru executarea acestor sarcini, precum și accesarea datelor cu caracter personal și a operațiunilor de prelucrare, și pentru menținerea cunoștințelor sale de specialitate.” DPO-ul, în funcție de mărimea organizației, ar putea avea nevoie și de o echipă pluridisciplinară, care să includă cel puțin un jurist și / sau un IT-ist, de un birou propriu, securizat corespunzător, de o colecție, dacă nu de o bibliotecă proprie de materiale bibliografice de specialitate etc. În cazul producerii unei breșe de securitate urmată de o amendă, argumente de tipul “Nu am știut!” sau “Nu avem fonduri suficiente să alocăm și pentru DPO pentru că suntem în criză economică!” sunt irelevante și, chiar dacă nu vor fi interpretate de autoritatea de supraveghere ca circumstanțe agravante, nici nu vor fi luate în considerare ca argumente pentru clemență dusă până la iertarea “păcătosului”. Dacă lipsa de resurse poate fi purtătoare de sancțiuni GDPR, soluția evitării acestora sau a reducerii riscului amenzilor GDPR este bugetarea corespunzătoare a activității DPO-ului. Operatorii ar trebui să includă în bugetul anual de cheltuieli și resursele necesare pentru implementarea GDPR, dar și pentru menținerea conformității, pentru că procesul de conformare GDPR a entității este continuu și este egal cu durata de viață a entității.

Este DPO-ul român investit cu autoritatea necesară pentru a-și putea desfășura activitatea în mod corespunzător ? 

D.S.: DPO-ul nu este învestit de operator cu autoritatea necesară pentru a-și putea desfășura activitatea în mod corespunzător și, mai rău, este chiar ignorat de conducere. Această autoritate absolut necesară DPO-ului nu înseamnă că acesta devine un fel de șef peste ceilalți colegi, pe care-i poate sancționa, ci că este ascultat atunci când trasează sarcini și responsabilități pe linie de GDPR și că beneficiază, pe de o parte, de sprijinul conducerii, pe de altă parte, obține cooperarea și colaborarea responsabilă și implicată a tuturor salariaților care prelucrează date personale. NU DPO-ul este cel care stabilește sancțiunile într-o entitate, ci conducerea acesteia, iar DPO-ul NU face parte din conducere! DPO-ul nu trebuie văzut ca un mic despot în entitate, ci ca pe un garant pentru persoanele vizate că prelucrarea datelor personale se face respectând principiile GDPR, iar operatorul trebuie să-l vadă ca pe o resursă reală pe care, dacă o folosește corespunzător, chiar îndepărtează de entitatea sa riscul contactului cu autoritatea de supraveghere și, implicit, reduce riscul amenzilor. Dacă autoritatea DPO-ului se limitează la transformarea acestuia într-un producător și arhivar de hârtii, de proceduri, politici și chestionare de audit, ușa spre amenzile GDPR este larg deschisă, iar operatorii n-ar trebui să fie nici surprinși, nici nemulțumiți că sunt sancționați. Prin urmare, soluția pentru reducerea riscului amenzilor GDPR în această situație presupune ca DPO-ul să primească autoritate din partea operatorului, iar acesta din urmă să se asigure că toți ceilalți salariați o respectă. Învestirea cu autoritate a DPO-ului nu se limitează la o simplă decizie internă și la semnarea unui proces verbal de luare la cunoștință din partea salariaților, ea trebuie să producă efecte reale.

În ce privește implicarea la timp a DPO-ului în activitățile de protecție a datelor personale vom atrage atenția operatorilor asupra faptului că lipsa încrederii în salariatul desemnat ca DPO nu este o justificare per se, ba, mai mult, în cazul producerii unei breșe de securitate poate fi un indicator clar al unor disfuncționalități grave și a unei stări de dezorganizare la nivelul entității și care nu pot fi estompate de existența unei documentații de conformitate GDPR, oricât de bine și de frumos ar fi întocmită. Cu alte cuvinte, operatorul nu are nicio scuză în fața autorității de supraveghere pentru că a numit un DPO în care nu are încredere și, pe aceasta bază, operatorul nu-și respectă obligația prevăzută de art. 38, alin. 1 din Regulament: “(1) Operatorul și persoana împuternicită de operator se asigură că responsabilul cu protecția datelor este implicat în mod corespunzător și în timp util în toate aspectele legate de protecția datelor cu caracter personal.”

Mai mult decât această implicare, operatorul trebuie să asigure independența DPO-ului, în sensul art. 38, alin. 3 din Regulament: “(3) Operatorul și persoana împuternicită de operator se asigură că responsabilul cu protecția datelor nu primește niciun fel de instrucțiuni în ceea ce privește îndeplinirea acestor sarcini. Acesta nu este demis sau sancționat de către operator sau de persoana împuternicită de operator pentru îndeplinirea sarcinilor sale. Responsabilul cu protecția datelor răspunde direct în fața celui mai înalt nivel al conducerii operatorului sau persoanei împuternicite de operator.” Independența DPO-ului este o altă piedică majoră în entitățile în care acesta este numit de formă și se poate trezi că fiecare șef ierarhic superior pe linia activităților de bază îi spune DPO-ului ce și cum să facă și pe linie de GDPR.

Toate aceste trei situații în care probabilitatea primirii unei amenzi este foarte mare, pot fi evitate, sau măcar redus riscul unei amenzi GDPR prin implicarea operatorului. De acesta depinde, aproape în exclusivitate, ca aceste sancțiuni să nu apară.

Există o preocupare reală legată de răspunderea DPO-ului? În ce măsură DPO-ul poate fi tras la răspundere și poate suporta consecințe negative în cazul implementării necorespunzătoare a GDPR-ului în entitate, mai ales în cazul amenzilor?

D.S.: Se cuvine să punctăm întâi faptul că această temere provine din traducerea nepotrivită a termenului DPO în limba română. În limba engleză, ca, de astfel și în celelalte limbi în care a fost tradus Regulamentul 679/2016, înseamnă Ofițer cu Protecția Datelor - Data Protection Officer și nu RESPONSABIL cu protecția datelor cu caracter personal, inducând, astfel, ideea că persoana care ocupă aceasta funcție este responsabilă de implementarea GDPR. Implementarea GDPR este obligația și implicit responsabilitatea operatorului (a angajatorului) și nu a salariatului numit pe postul de DPO.

În al doilea rând, DPO-ul răspunde legal dacă a produs prejudicii operatorului încălcând alte prevederi legale. Spre exemplu, DPO-ul nu poate fi concediat pentru îndeplinirea funcțiilor și sarcinilor sale specifice, adică nu poate fi concediat pentru că insistă pe lângă operator să-i asigure resurse, sau dă un aviz nefavorabil pentru o anumită activitate de prelucrare de date pe care o consideră riscantă dacă nu se iau măsuri de remediere a deficiențelor, dacă, însă, fură din bunurile angajatorului, provoacă distrugeri, îi perturbă activitatea, consuma alcool în timpul programului, se implică / se lasă implicat în altercații / agresiuni / violențe etc., este pasibil de sancțiuni disciplinare, administrative, penale etc.

Externalizarea serviciului de implementare GDPR este o soluție viabilă și care sunt limitele de responsabilitate ale prestatorilor de servicii în cazul amenzilor GDPR?

D.S.: La această întrebare răspunsul este categoric DA, externalizarea serviciului de protecție a datelor este o soluție foarte bună în multe contexte, dar, operatorii trebuie să ia în calcul câteva aspecte foarte importante:

Operatorii răspund oricum și sunt pasibili de amendă dacă externalizează serviciul către prestatorul nepotrivit, care nu demonstrează că are competențe și experiență adecvată în domeniu și care nu demonstrează că poate securiza datele personale încredințate spre prelucrare în mod corespunzător. Dacă operatorul externalizează serviciul de implementare GDPR către o firmă specializată în vânzarea de legume, dar care pretinde că are codul CAEN potrivit pentru a putea oferi și consultanță GDPR, amenda este ca și scrisă pentru operator. Verificarea sistemului de expertiză și de reputație al prestatorului este obligația operatorului. 

Operatorii răspund oricum și sunt pasibili de amendă dacă nu-și exercită la timp și corect instrumentul controlului asupra prestatorului pentru a se asigura, continuu, că acesta respectă condițiile contractuale în ce privește confidențialitatea și securitatea datelor personale încredințate spre prelucrare. Prestatorul de servicii externalizate ar putea fi sancționat doar dacă operatorul ar putea demonstra fără urmă de dubiu că vina este exclusiv a prestatorului. În teorie, operatorul și prestatorul ar putea răspunde solidar în fața autorității de supraveghere, în practică, însă, se va considera că partea cea mai mare de vină o deține operatorul, deoarece nu și-a exercitat în mod corespunzător instrumentul controlului pe care doar el îl deține. Poate, nu întâmplător, în limba engleză operatorul este numit controller. Ne putem afla, iarăși, în fața unei traduceri neinspirate în limba română a acestui termen, deoarece creează confuzii și poate induce ideea că operatorul prelucrează personal date cu caracter personal, deși este posibil ca cel mai înalt nivel al conducerii să nu se afle în această situație. Cel mai înalt nivel al conducerii entității, însă, are obligația de a folosi acest instrument al controlului pe care doar el îl deține, și asupra angajaților, și asupra împuterniciților săi.

În ce privește externalizarea serviciului de DPO, deși tentant și foarte comod pentru operator, în aparență, în realitate poate avea efecte pervese. Un DPO conectat la entitate va ști mereu, cu o precizie foarte mare, ce se întâmplă în organizație, unde se află documentele, în grija cui se află și cum le securizează, va putea monitoriza în timp real respectarea măsurilor de securitate implementate de entitate etc. și, cel mai important aspect, în cazul investigațiilor efectuate de autoritatea de supraveghere la sediul operatorului, va fi mult mai expeditiv, mai sigur pe sine și mai organizat în îndeplinirea solicitărilor echipei de investigații decât un DPO extern. Modul în care se poate organiza un DPO intern față de un DPO extern poate face diferența între o amendă și un avertisment însoțite, sau nu, de măsuri corective, sau s-ar putea traduce cel puțin în reducerea valorii amenzii. Această diferență nu este dată de incompetența unui DPO extern, ci de organizarea operatorului. Un DPO extern are cu atât mai mult nevoie de cooperarea operatorului, cu cât nu poate fi prezent în entitate așa cum este un DPO intern. Ori, dacă operatorul este dispus să ofere acest sprijin, cea mai bună combinație în opinia noastră și care ar reduce considerabil riscul amenzilor GDPR ar fi DPO intern și consultant extern pentru audituri, monitorizare, DPO coaching și / sau instruire salariați.

Dacă ar fi să sintetizăm într-o singură frază răspunsul la întrebarea “Cum reducem riscul amenzilor GDPR?” care ar fi acesta?

D.S.: “Riscul amenzilor GDPR scade foarte mult prin responsabilizare, cooperare și implicare, adică, în primul rând prin elemente ce țin de natura umană și abia apoi de partea tehnică, adică de instrumente de lucru, aplicații, programe etc.”

Portalul dpo-NET.ro - Data Protection Officers Network reia organizarea evenimentelor dpo.TALKS și organizează împreună cu Sypher Solutions și NeoPrivacy România, în data de 30 Septembrie 2020, în intervalul orar 10.00-11.30, o dezbatere online pe tema "Cum reducem riscul amenzilor GDPR ?", aducând în prim plan problema respectării  principiilor și prevederilor Regulamentului UE 679/2016. 

Vom analiza împreună cu Mihai Ghita, Cofondator Sypher Solutions și Daniela Simionovici, Senior Partner NeoPrivacy Romania, măsurile luate de autorități europene de protecția datelor cu caracter personal  în aceasta perioada. Vom pune accent pe provocarile profesionale cu care se confruntă DPO-ul  în aceasta perioada, si pe importanta implementării unor soluții pentru reducerea riscurilor amenzilor GDPR. 

Mihai Ghita are peste 20 de ani de experiență în industria de asigurări și în dezvoltarea de software de vânzări online pentru brokeri și companii de asigurări și este specializat în optimizarea experienței utilizatorilor de aplicații web, managementul și arhitectura produselor software și lucrează în permanență pentru a îmbunătăți funcționalitatea și platformei Sypher Solutions. Mihai a acceptat să ofere acest interviu în exclusivitate pentru Portalul dpo-NET.ro - Data Protection Officers Network.

Pandemia COVID-19 a schimbat semnificativ activitatea tuturor profesionistilor si acum s-au remarcat cei care s-au putut adapta mai usor. Cum a fost afectat, in opinia dumneavoastra, domeniul protectiei datelor cu caracter personal?

MG: Pandemia din acest an a actionat ca un accelerator pentru deciziile de adoptare de noi tehnologii pentru ca, in doar cateva luni, a devenit clar ca digitalizarea nu mai este optionala, ci absolut necesara pentru supravietuirea companiilor.

Asta a facut ca proiecte care, in mod uzual ar fi luat chiar si ani de zile pentru analiza si planificare, sa se lanseze in regim de urgenta, fiind practic imposibil sa se ia in considerare toate efectele “secundare”.

Prioritatea a fost, cum este si normal, restabilirea rapida a functionarii companiei, iar in acest context cu siguranta s-au facut compromisuri privind protectia datelor. Compromisuri ce vor trebui insa rezolvate pe masura ce situatia se indreapta treptat spre normalitate.

Digitalizarea "pe repede-inainte" a fost de multe ori solutia pentru continuarea activitatii si astfel astazi vorbim mai mult decat oricand de telemunca sau teleeducatie. Cum se poate desfasura activitatea unui DPO in conditii de telemunca?

MG: Principalele provocari ale unui DPO sunt sa monitorizeze gradul de conformare a companiei cu cerintele GDPR si sa se asigure ca fiecare angajat isi cunoaste si isi indeplineste responsabilitatile privind protectia datelor si comunica cu echipa de conformitate atunci cand este nevoie.

“Telemunca” se impaca bine cu digitalizarea si nu ar trebui sa aiba un impact major pentru DPO daca exista deja o platforma software pentru controlul si supravegherea conformitatii, care poate fi folosita de toti angajatii cu responsabilitati in domeniu.

MG: La polul opus este situatia in care procesul de asigurare a conformitatii este preponderent manual sau alocat disproportionat de mult in sarcina echipei de conformitate.

Nici in acest caz problema principala nu este insa telemunca, ci mai degraba ineficienta implicita a abordarii.

Care sunt riscurile digitalizarii de pe o zi pe alta? Cum credeti ca ar fi trebuit sa fie adoptata aceasta tehnica pentru a asigura continuitatea afacerilor?

MG: Acum un an digitalizarea era o modalitate de a optimiza costurile si procesele. Astazi insa, pentru multe companii, digitalizarea este cea care asigura continuitatea afacerii.

Digitalizarea presupune gasirea de furnizori si solutii tehnice, dezvoltari, implementari, conectari, modificari de procese si proceduri.

Fiecare dintre acestea introduce riscuri noi, care trebuie identificate, evaluate si adresate, iar urgentarea procesului face posibila aparitia de brese procedurale si de securitate.

Urgenta nu inseamna insa renuntarea la precautii si analiza. Chiar si cu timp si resurse limitate se poate actiona asupra reducerii riscului prin identificarea proceselor a caror digitalizare are impact maxim pentru functionarea companiei si alocarea cu prioritate a resurselor de analiza si control al riscului catre acestea.

Capacitatea de a inova va schimba, cu siguranta, topurile economice internationale. Cum a inovat compania Sypher pentru a se adapta "noului model de bussines”?

MG: Sypher a aparut pentru ca digitalizarea procesului de gestionare a conformitatii este singura modalitate realista prin care companiile pot sa respecte cerintele GDPR.

Am pornit insa din primul moment de la principiul ca platforma Sypher trebuie sa fie nu doar un instrument de raportare si control pentru management, ci si sa usureze munca tuturor celor care au responsabilitati legate de GDPR.

Acest principiu ne-a ajutat sa ramanem mereu centrati pe identificarea si rezolvarea problemelor practice ale echipelor de conformitate si sa dezvoltam facilitati care nu se regasesc in alte platforme: harta vizuala dinamica a activitatilor, instrumentele de validare a registrului si a proiectului si, nu in ultimul rand, Asistentul virtual GDPR pentru echipele de conformitate.

Participati in data de 30 Septembrie 2020 ca si key-speaker in cadrului webinarului dpo.TALKS avand ca tema "Cum sa reducem riscul amenzilor GDPR?". Exista o reteta pe care urmeaza sa o prezentati?

MG: Oamenii sunt diferiti. De aceea nu exista o reteta universala de slabit sau pentru o viata sanatoasa. Exista insa principii care te pot ajuta sa ajungi la greutatea dorita sau sa iti mentii sanatatea.

Companiile sunt si ele diferite si cu cerinte diferite cand vine vorba de conformitate.

De aceea nu voi prezenta retete, ci voi discuta despre modul practic in care principiile GDPR te pot ajuta sa documentezi si sa demonstrezi conformitatea cu cerintele privind protectia datelor.

WEBINARUL ESTE TRANSMIS LIVE PE PLATFORMA https://conferinte-live.ro/ si pe pagina de Facebook Dpo-NET.ro - Data Protection Officers Network - https://www.facebook.com/dponet.ro

Evenimentul este inregistrat si este disponibil in spatiul public pentru a asigura accesul la informatii cator mai multe persoane si dupa acest eveniment.

AGENDA - dpo.TALKS - “Cum reducem riscul amenzilor GDPR ?” - 30.09.2020 - 10.00-11.30

• Invitat: Mihai Ghita, Cofondator Sypher Solutions
• Moderator: Daniela Simionovici, Senior Partner NeoPrivacy Romania

09.45 - 10.00 - Inregistrarea participantilor in platforma online

10.00 - 10.30 - Provocarile profesionale ale DPO-ului in contextul actual / Sinteza amenzilor GDPR aplicate la nivel european in 2020

10.30 - 11.00 - Studiu de caz: Asistentul Virtual GDPR Sypher ca solutie pentru reducerea riscurilor amenzilor GDPR si digitalizarea activitatii DPO-ului

11.00 - 11.30 - Sesiune de intrebari si raspunsuri

Inscrierea se face exclusiv prin completarea urmatorului formular.