Andrei Săvescu: Uniunea Europeană încearcă să pună presiune pe operatori, prin intermediul cetățenilor

INTERVIU EXCLUSIV

Vizualizari: 1524

Facebooktwittergoogle_plusredditpinterestlinkedinmail

Andrei Săvescu este membru în Baroul București din 1994 și are o vastă experiență atât ca avocat, cât și ca arbitru la Curtea de Arbitraj Comercial de pe lângă Camera de Comerț și Industrie a României, fiind unul dintre cei mai apreciați practicieni ai dreptului. Predă cyberlaw din anul 2005, la Universitatea Româno-Americană și, din anul 2015, la  Universitatea de Vest din Timișoara. A susținut conferințe și ateliere cu privire la GDPR la care au participat sute de manageri, consilieri juridici și avocați specializați. Este președintele Societății de Științe Juridice din România (2009), coordonator JURIDICE.ro (2004), cercetător asociat în cadrul Institutului de Cercetări Juridice „Acad. Andrei Rădulescu” al Academiei Române (2010) și membru fondator al Asociației pentru Tehnologie și Internet (2004).  A acceptat cu entuziasm să realizăm acest interviu în exclusivitate pentru dpo-net.ro, fiind unul din cei mai renumiți profesioniști din România în domeniul protecției datelor. 

 

Marius Dumitrescu: Scopul GDPR nu este de a da amenzi, ci de a proteja persoanele. Cu toate acestea, după 3 ani de la intrarea în vigoare a Regulamentului, doar 67% dintre Europeni au auzit de GDPR, în timp ce doar 36% au declarat că știu ce este acest regulament (date prezentate de Comisia Europeana în sondajul Eurobarometru). Credeți că aceste cifre sunt rezultatul dezinteresului persoanelor în ceea ce privește protejarea datelor lor?

Andrei Săvescu: O reglementare europeană de care au auzit peste două treimi dintre oameni iar peste o treime știu ce este ea mi se pare foarte mult. Nu cred că există o altă reglementare atât de cunoscută. Probabil că nici măcar Legea 31/1990 nu este cunoscută în România la un asemenea nivel, prin raportare la întreaga populație. În termeni relativi, conștientizarea GDPR este foarte bună, dar în termeni absoluți într-adevăr nu. În ce privește conștientizarea la nivelul instituțiilor și mediului de afaceri, sunt convins că nivelul de conștientizare este foarte ridicat, aproape de 100%.

 Marius Dumitrescu: Care credeți că vor fi consecințele acestei lipse de conștientizare a importanței datelor în rândul persoanelor, pe termen lung?

Andrei Săvescu: Conștientizarea importanței datelor cu caracter personal este relativ scăzută la nivelul publicului larg, deoarece datele cu caracter personal au o importanță mică, pentru fiecare persoană în parte. Oamenii trebuie să fie cunoscuți, ei chiar vor să fie cunoscuți, este foarte normal să fie cunoscuți. De fapt nici nu este normal să acționăm în societate cu un fel de cagulă. Datele cu caracter personal sunt importante când sunt foarte multe, datele unui număr mare de persoane. Ele sunt importante pentru organizații. Cu alte cuvinte, există o foarte mare diferență între importanța datelor cu caracter personal ale unei anumite persoane și importanța unui volum mare de date, ale unui număr mare de persoane. Această diferență la nivelul importanței datelor cu caracter personal este cauza diferenței de conștientizare: persoanele fizice au o conștientizare mai scăzută pe bună dreptate, pentru fiecare în parte datele cu caracter personal au o importanță mică.

Marius Dumitrescu: Este esențial ca persoanele să identifice prelucrările ilegale de date pentru a-și putea exercita drepturile. Cât este de important sa-ți cunoști drepturile atâta timp cât nu poți identifica o prelucrare ilegală? Pe ce ar trebui să se axeze campaniile de informare a persoanelor?

Andrei Săvescu: Conștientizarea drepturilor protejate de GDPR este mai mare decât conștientizarea GDPR. Această împrejurare a fost evidențiată și de sondajul Eurobarometru la care v-ați referit. Protejarea drepturilor persoanelor se realiza și înainte de GDPR, prin mijloace de drept civil. Într-adevăr, înainte de GDPR protejarea drepturilor se realiza atunci când persoanele erau deranjate de încălcarea drepturilor lor. GDPR a adus un element de noutate foarte spectaculos: informarea detaliată, clară și quasi-permanentă a persoanelor vizate cu privire la drepturile lor și cu privire la scopurile și modalitățile în care se realizează prelucrarea datelor lor cu caracter personal. Această încurajare a persoanelor vizate este necesară tocmai din pricina dezinteresului imanent în ce privește fiecare persoană în parte. Uniunea Europeană desfășoară și încurajează o campanie de sensibilizare cu privire la protecția datelor cu caracter personal.

Marius Dumitrescu: Care credeți că ar fi cea mai scurtă cale spre creșterea gradului de conștientizare și complianță GDPR: educarea persoanelor sau educarea operatorilor?

Andrei Săvescu: Operatorii se educă singuri. Instituțiile și companiile pot fi suspectate de multe lucruri rele, însă în realitate greșesc destul de puțin, pentru că ele reprezintă partea activă, dinamică și totodată stabilă, solidă a oricărei societăți. Conștientizarea GDPR și creșterea nivelului de complianță, ca să ne exprimăm barbar, trebuie să vină de la persoanele vizate. Cred că aceasta este calea cea mai bună. Oamenii ar trebui să citească politicile de confidențialitate și să împărtășească doar datele necesare sau pe care doresc să le împărtășească. Educarea persoanelor vizate cred că este calea cea mai bună și totodată cea mai scurtă. Pe de altă parte, cred că acesta este spiritul GDPR: protejarea persoanelor fizice, nu chinuirea operatorilor.

Marius Dumitrescu: În România, până în acest moment, nu prea s-au dat amenzi pentru nerespectarea GDPR, deși autoritatea a condus aproape 1.000 de investigații, adoptând o atitudine orientată spre prevenție și dispunerea de măsuri corective. Considerați că amenzile au un rol important în aplicarea GDPR-ului? Din experiența dumneavoastră  practică, cei mai mulți operatori se conformează cu GDPR din responsabilitate sau de frica amenzilor?

Andrei Săvescu: Prin GDPR Uniunea Europeană încearcă să pună presiune pe operatori, dar prin intermediul cetățenilor, nu prin intermediul Autorităților. Datele personale conferă o anumită putere (comercială) celui care le deține. Transparența este dușmanul puterii în această privință, căci puterea nu are nevoie de transparență, dimpotrivă, preferă să fie ocultă. Autoritatea națională din România a sesizat foarte bine orientarea reglementării europene. Scopul GDPR este să fie pedepsiți cei care sar calul, nu cei care trag la căruță. Potrivit experienței mele, operatorii sunt preocupați de conformarea GDPR. În calitate de consultanți, noi, avocații, răspundem în fiecare zi întrebărilor clienților, atât managementului cât și responsabililor cu protecția datelor. Este adevărat că există o teamă de amenzi, însă nu am sentimentul că acesta este motivul determinant, ci unul mult mai subtil și mult mai frumos, determinat de faptul că GDPR încurajează, la nivelul operatorilor, o dorință esențială și foarte pozitivă pentru afaceri: dorința de a fi ordine.

Marius Dumitrescu: Credeți că instituțiile publice ar trebui sa fie un exemplu pentru restul operatorilor? Punem această întrebare pentru că în România avem un tratament preferențial pentru instituțiile publice, amenda maximă pentru nerespectarea GDPR fiind de 200.000 lei (aproximativ 42.000 euro), cu mult inferior față de ceea ce riscă operatorii privați.

Andrei Săvescu: Da, cred că instituțiile publice ar trebui să fie un exemplu de conformare GDPR. De altfel am sesizat o preocupare constantă la nivel legislativ de a impune instituțiilor conformarea, prin trimiterea la GDPR în numeroase acte normative noi provenind de la Guvern. Fără îndoială că la nivelul instituțiilor conformarea GDPR este mai dificilă, dar asta în principal din pricina constrângerilor bugetare, nu din rea-voință. Pe de altă parte, la nivelul instituțiilor, o eventuală amendă ar putea fi catastrofală pentru persoanele vinovate, atunci când va sosi Curtea de Conturi...

Marius Dumitrescu: Cu toate că România înregistrează cel mai scăzut nivel de utilizare a serviciilor de internet dintre statele membre ale Uniuni Europene, 86% dintre utilizatorii români de internet au conturi pe rețelele sociale, ceea ce ne face campionii Europei la acest capitol. Având în vedere scandalurile imense în care au fost implicate rețelele de socializare, fie prin breșele de securitate, fie prin utilizarea ilicită a datelor, putem considera că suntem și cei mai vulnerabili. Cum considerați că ar trebui să se comporte un utilizator de internet, dacă ar fi vorba de riscurile pe care internetul le ascunde?

Andrei Săvescu: Chiar dacă ar cunoaște toate riscurile, cred că utilizatorii de Internet s-ar comporta cam la fel. Pericolele pot fi evitate doar prin inacțiune, ceea ce este în realitate imposibil. De Internet doar moartea ne va despărți. GDPR există tocmai pentru ca persoanele să poată să reclame încălcarea drepturilor lor, apoi intervin autoritățile.

Marius Dumitrescu: Accesul copiilor la internet este deja o normalitate. Ar trebui acest lucru sa ne îngrijoreze? Considerați că o educație privind accesul la internet al copiilor ar trebui să fie o sarcină a părinților sau sistemul de învățământ ar trebui să-și asume acest rol?

Andrei Săvescu: Încă nu înțelegem foarte bine impactul Internetului asupra copiilor. Internetul are un impact devastator asupra copiilor, din perspectiva noastră. Însă din perspectiva lor, a celor care vor trăi în viitor, probabil că lucrurile nu sunt deloc dramatice. Internetul este o realitate virtuală, însă este la fel de real ca orice altceva. Cred că societatea viitorul va fi diferită destul de mult de realitatea de ieri, probabil că nu va mai fi atât de socială și va fi mult mai cibernetică. În ce privește educația privind accesul la Internet al copiilor cred că sistemul de învățământ o să aibă un rol mai important decât părinții, întrucât educația făcută de profesioniști este mai bună decât educația făcută de amatori, părinții sunt educatori amatori. Pe de altă parte, este mai presus de orice îndoială că părinții sunt mai importanți decât sistemul de învățământ, pentru că iubirea este mai importantă decât educația. Tehnologiile software permit un control parental avansat, în așa fel încât părinții să-și poată proteja copiii, cu iubire și multă atenție. Însă utilizarea controlului parental este ea însăși dificilă, întrucât necesită deprinderi tehnice și un discernământ bine antrenat cu privire la pericolele Internetului. Cred însă că lucrurile vor merge din ce în ce mai bine, părinții tineri sunt mult mai pricepuți, astfel încât iubirea și priceperea lor vor putea, în măsură din ce în ce mai mare, să protejeze și să orienteze copiii.

Marius Dumitrescu: Facebook a lansat Study, un program de cercetare de piață bazat pe recompense. Cum vi se pare un asemenea concept: să fim plătiți pentru datele pe care le facem publice? Este acesta direcție una corectă?

Andrei Săvescu: Oamenii oricum își fac publice date cu caracter personal, iar dacă sunt și plătiți pentru asta e foarte bine. Cred că direcția este una corectă, în măsura în care oamenii sunt conștienți de faptele lor și de efectele faptelor lor. Împrejurarea că oamenii nu sunt mereu foarte conștienți nu înseamnă că ar trebui oprit orice lucru care se face cu un nivel scăzut de conștientizare, căci altminteri ar trebui să ne gândim și la restricții cu privire la mersul pe jos, care nici el nu se bucură de un nivel înalt de conștientizare.

Marius Dumitrescu: Conform unui raport DLA Piper (GDPR data breach survey: February 2019), de la data aplicării GDPR și până în februarie 2019 Autoritatea de supraveghere din Olanda înregistrase 15,400 de notificări de breșe, în timp ce România număra la acea vreme doar 270. Care credeți că este motivul acestei discrepanțe? Suntem noi românii un popor norocos și breșele de securitate ne evită, ori nu recunoaștem o breșă de securitate nici dacă ne împiedicăm de ea?

Andrei Săvescu: Orice sistem informatic este penetrabil. Câtă vreme vom utiliza protocoalele TCP, computerele vor fi penetrate. Diferența de expunere se situează la nivelul costurilor pentru realizarea penetrării. Prin urmare, penetrarea se va face atunci când este suficient de rentabilă. Cred că măsurile de securitate informatică sunt foarte importante, dar nu pentru că ar face imposibil furtul datelor cu caracter personal, ci pentru că măresc costurile care ar trebui făcute de cel care vizează aceste date. Acest mecanism cibernetic nu este însă specific atacurilor vizând datele cu caracter personal, ci este general, pentru orice informații ne-publice ale unei organizații. De aceea, unele organizații neglijează securitatea cibernetică, iar altele îi acordă o atenție specială. Importanța acordată de o organizație securității cibernetice nu este determinată de importanța datelor cu caracter personal, ci de importanța informațiilor ne-publice ale organizației. Organizațiile ar trebui să acorde o importanță specială protecției informațiilor în general, întrucât ele trebuie să protejeze informații cu mult mai importante decât cele care privesc datele cu caracter personal. Așa se și întâmplă în realitate: protecția informatică a datelor cu caracter personal este exact la nivelul la care se află protecția informatică a organizației. Din această perspectivă, GDPR are un rol social foarte pozitiv, întrucât cu ocazia demersurilor pentru protecția datelor cu caracter personal, organizațiile vor asigura și protecția generală a informațiilor pe care le gestionează.

Marius Dumitrescu: Identificarea riscurilor este unul din cei mai importanți pași spre complianța GDPR. Dar dacă noi nu reușim să identificam nici breșele, cum am putea identifica riscurile?

Andrei Săvescu: Riscurile cu privire la protecția datelor cu caracter personal au o sferă mai largă decât riscurile informatice. Cel mai frecvent breșele sunt mai mari decât riscurile, pentru că nu există interes pentru exploatarea breșelor.

Marius Dumitrescu: A trecut un an de la intrarea în vigoare a GDPR. Ce s-a schimbat în decursul acestui an?

Andrei Săvescu: Cea mai importantă schimbare este creșterea numărului de specialiști. Această schimbare este foarte pozitivă. GDPR este mult mai cunoscut, el constituie o preocupare constantă pentru operatori, ceea ce a determinat creșterea numărului de specialiști. Acest trend cred că se va menține, și este foarte bine că va fi așa. O altă schimbare este scăderea fricii. Acum un an, frica era cauza unor reacții exagerate din partea operatorilor, reacții de natură să împiedice funcționarea normală a organizației. Acum un an, operatorii aveau tendința să sufle în iaurt. În acest moment lucrurile sunt mai așezate, iar GDPR produce efectul vizat, acela de generator de ordine în activitate. Și această schimbare mi se pare foarte bună.

Marius Dumitrescu: Cum vedeți implementarea Directivei NIS în România? Care sunt cele mai mari provocări? Ce măsuri au fost luate până în prezent?

Andrei Săvescu: Securitatea rețelelor și sistemelor informatice este o provocare pentru că necesită costuri mari, pricinuite de necesitatea utilizării unor echipamente scumpe și de necesitatea implicării unor oameni foarte calificați și foarte inteligenți, deci puțini, deci scumpi. Securitatea informatică este poziționată în zone stratosferice ale intelectului uman. Cauza dificultăților nu poate fi eliminată, pentru că adevărata cauză este modul în care a fost conceput Internetul. O schimbare a mecanicii intime a Internetului ar rezolva problemele legate de securitatea sistemelor informatice, însă probabil că asta nu se va întâmpla în curând, din pricină că problemele de securitate sunt, pentru organizații relevante, fructuoase. Prin urmare, cred că preocuparea pentru securitatea sistemelor informatice trebuie să fie în continuare susținută.

Marius Dumitrescu: Cine credeți ca ar trebui să se implice mai mult în diseminarea importanței datelor personale? Instituțiile publice, Autoritățile naționale de supraveghere sau ONG-urile din domeniul protecției datelor?

Andrei Săvescu: Am observat că Autoritatea Națională are o foarte bună implicare în diseminarea informațiilor privind protecția datelor cu caracter personal, atât în nume propriu, cât și prin sprijinirea inițiativelor în acest sens ale instituțiilor, ONG-urilor și chiar ale agenților economici. Cred că ONG-urile, așa cum este cel pe care îl conduceți, Asociația Specialiștilor în Confidențialitate și Protecția Datelor, pot face lucruri frumoase, și chiar fac. Protecția datelor cu caracter personal merită toată atenția care îi este deja acordată, și chiar mai mult.

Marius Dumitrescu: Vă mulțumesc.

Andrei Săvescu: Vă mulțumesc și eu pentru atenția pe care mi-ați acordat-o adresându-mi aceste întrebări și vă doresc mult succes în activitatea dumneavoastră, pe care o apreciez în mod special!

Iți plac articolele dpo-NET.ro? Poți fi la curent cu toate aceste noutăți dacă ne urmărești zilnic pe paginile noastre de LinkedIn sau Facebook. 

NOU! Consultă Registrul Amenzilor GDPR pentru mai multe informații despre sancțiunile acordate în baza Regulamentului 2016/679


Acest articol este protejat de către dispoziţiile legale incidente și este interzisă copierea, reproducerea, recompilarea, modificarea, precum şi orice modalitate de exploatare a acestuia. Articolele publicate pe DPO-NET.RO pot fi preluate doar în limita a maxim 500 de caractere, fără a depăşi jumătate din totalul de caractere, şi cu citarea obligatorie a sursei, cu link activ. Orice abatere de la această regulă constituie o încălcare a Legii 8/1996 privind dreptul de autor. Dacă sunteţi interesaţi de preluarea ştirilor și articolelor publicate pe DPO-NET.RO, vă rugăm să ne contactati.

Timis Horea: Frica de amenzi GDPR a oprit inovația în multe domenii

INTERVIU EXCLUSIV

Vizualizari: 2120

Facebooktwittergoogle_plusredditpinterestlinkedinmail

De profesie medic, Timis Horea este expert in Management Sanitar si fost director de proiecte europene pe componenta socio-medicala, la Primaria Alba Iulia, director de spital, director al Directiei de Sanatate a judetului Alba, consilier cabinet subsecretar de stat in Ministerul Sanatatii. A colaborat in echipa de elaborare a  Strategiei Nationale de Sanatate 2014-2020 si este antreprenor privat, actionar in mai mult companii din sferea medicala pe partea de strategii de sanatate pentru administratia locala, proiectare circuite epidemiologice, consultant pe analize de marketing, analiza indicatorilor de performanta si calitate in managementul sanitar .

Din 2018 s-a implicat in domeniul startup-urilor medicale si a castigat doua selectii internationale in cadrul EIT Health (European Institute of Innovation and Technology in Health, https://www.eithealth.eu/) SmartAgeingCamp si Go2China),a urmat mai multe cursuri si specializari in domeniul eHealth la Health EIT – Europa, Denmarca - Copenhaga - DTU - Tehnical University of Denmark, Ungaria - Budapest - Semelweis Univeristy of Medicine, Germania - Nuremberg - Medical Valley -You Delft, Iralnda - Dublin - Trinity College Dublin, Polonia - Medical Univeristy of Lodz, China - Shenzhen Medical University, Olanda – Groningen – University. A infintat compania Doclink care in urma unui parteneriat cu un fond de investiii privat,  dezvolta impreuna cu o echipa de experti si parteneriate international un stratup medical https://feeel.health/ axat pe analiza datelor de Public Health, marketing medical statistic, inteligenta artificiala și predictie disponibil din 2020.

Timis Horea a acceptat sa acorde acest interviu portalului Dpo-NET.ro - Data Protection Officers Network

Scopul GDPR-ului nu este de a da amenzi ci de a proteja persoanele. Cu toate acestea, după 3 ani de la intrarea în vigoare a Regulamentului doar 67% dintre Europeni au auzit de GDPR, în timp ce doar 36% au declarat că știu ce este acest regulament (date prezentate de Comisia Europeana în sondajul Eurobarometru). Credeți ca aceste cifre sunt rezultatul dezinteresului persoanelor în ceea ce privește de protejarea datelor lor?

TH: In primul rand exista doua directii in comunicarea GDPR-ului, una preponderentă care produce doar panica si este  de genul ”Breaking News”  ce percutează tot timpul, cum că datele persoanelor se fura.  Acesta este abordarea greșită si total neprofesionala.  Si alta directie corecta este că avem nevoie de date pentru  a  ne imbunatatii si oamenii trebuie incurajati sa ofere date, iar GDPR-ul este o garantie in acest sens ca datele tale vor fi folosite corect in procesul de imbunatatire. Oameni reactioneaza corect spre reticenta tocmai pentru ca informarea in mare este greșit transmisă.

Care credeți ca vor fi consecințele acestei lipse de conștientizări a importantei datelor în rândul persoanelor, pe termen lung?

TH: Cum am spus, cand comunicare devine corecta, societatea si inteligenta sociala se muleaza pe un lucru corect. Cat timp este o sperietoare va exista un pas inapoi si o lipsa de preocupare. Ce facem ca in ultimii doi ani s-au generat mai multe date decat in toata istoria internetului? Constientizarea este direct proportionala cu calitatea comunicarii.

Un studiu ASCPD atragea atentia la inceputul acestui an asupra acestor statistici din unitatile medicale Romanesti: 37,44% din instituţiile sanitare cuprinse în analiză s-au confruntat cu incidente de securitate şi cu toate acestea 73,85% din total nu au implementat un plan de reacţie la incidentele de securitate. De asemenea, sondajul a scos în evidenţă că 70,26% încă folosesc adrese de email @yahoo.com şi @gmail.com în interes profesional în interiorul reţelei, expunând astfel organizaţia unor riscuri care pot fi evitate. Din sondaj a mai reieşit că 11,28% nu au implementat sisteme tehnice de protecţie antivirus, cel mai des invocând lipsa fondurilor. Cum comentati aceste rezultate ?

TH: Cred ca rezultatul este mul mai mare decat in studiu. In primul rand nu cred ca exista o reala preocupare, apoi implementarea este vazuta ca si un cost nu ca si un beneficiu pentru spital. Din nou ajungem la comunicare, de ce sa faci un anumit lucru? Cum te imbunatatesti, ce plus valoare aduce implementarea, totul se rezuma la ai nevoie de asta ca asa spune legislatia si te costa suma acesta. Nu lipsa fondurilor este problema, ci lipsa intelegerii a plus-valorii aduse prin implementare in unitate, companie. Momentan se implementeaza din frica de amenzi, nu din plus valoare adugata.

Având în vedere atacurile cibernetice asupra sistemului sanitar românesc din ultimele saptămâni, ce măsuri considerați că trebuie luate imediat ?

TH: In primul rand nimeni nu raspunde de sistemul de sanatate, acesta este administrat de o persoana numita de o autoritate publica care are spitalul in subordine, dar entitatea este a...statului. Adica in caz de ceva vine statul si rezolva. Atata timp cat nu este specificat clar undeva ca este o responsabilitate a conducerii, a administratorului, a comitetului director nu o sa se intample absolut nimic. Atacuri o sa mai fie si oricum plateste statul sau administratia spitalului. Avem cateva Instituii care vegheaza  asupa sistemului dar nici una nu au o strategie in acest sens clara pe GDPR. Subiectul este tratat la diverse...si asta o sa si avem.

Este esențial ca persoanele să identifice prelucrările ilegale de date pentru a-și putea exercita drepturile. Cât este de important sa-ți cunoști drepturile atâta timp cât nu poți identifica o prelucrare ilegală? Pe ce ar trebui să se axeze campaniile de informare a persoanelor?

TH:Pe informarea corecta. Momentan nici intre expertii si comunicatorii GDPR din tara nu este un consens clar. Sunt abordari diferite, interpretari diferite. Cred ca nu oricine trebuie sa fie expert GDPR si trebuie un control clar al cursurilor si comunicarilor oficiale. Trebuie să existe proceduri clare nu cursuri cu taxe in care mergi intr-un fel si iesi in alt fel si ai o diplomă.

Care credeți că ar fi cea mai scurta cale spre creșterea gradului de conștientizare și complianta GDPR: educarea persoanelor sau educarea operatorilor?

TH: Educatia corecta, profesionala este singura cale, profesionalismul duce la rezultate, neprofesionalismul duce la anarhie. Privatul este mai atent, dar si cheltuie mai mult, statul este mai nepasator oricum nu este o tinta directa in procesul de control.

În România, până în acest moment, s-au aplicat patru amenzi pentru nerespectarea GDPR deși autoritatea condus aproape 1.000 de investigații, adoptând o atitudine orientată spre prevenție și dispunerea de măsuri corective. Considerați că Amenzile au un rol important în aplicarea GDPR-ului? Din experienta dvs practică, cei mai mult operatori se conformeze cu GDPR-ul din responsabilitate sau de frica amenzilor?

TH: In primul rand exista o frica a amenzilor si acesta este primul aspect, care este rezultatul comunicarii de pana acuma, cel putin la noi in tara. Nimeni nu se conformeaza ca asa trebuie sau pentru ca aduce un plus valoare, toti il percep ca si un cost si o actiune birocratica. Cred ca o campanie de preventie si constientizare aduce mai multe beneficii decat o multime de amenzi prin care sperii cativa mari operatori sau omori cateva businessuri mici. Oricum acest mod de a comunica a oprit inovatia in multe domenii. Statul roman trebuia sa investeasca in comunicare in urma cu 5 ani nu să ne trezim ca din martie 2018, hop avem o lege care afecteaza pe toata lumea. Concluzia? O sa dureze inca cinci ani ca sa ne conformăm cat de cat.

Credeți că instituțiile publice ar trebui sa fie un exemplu pentru restul operatorilor? Punem această întrebare pentru că în Romania avem un tratament preferențial pentru instituțiile publice, amenda maxima pentru nerespectarea GDPR-ului fiind de 200.000 lei (aproximativ 42.000 euro), cu mult inferior față de ceea ce risca operatorii privați.

TH: Mentalitatea de a arata ca avem nevoie de exemple inca persista. Daca azi mergem la orice spital luat prin sondaj, cu siguranta am gasi incalcari ale GDPR-ului dar autoritatea nu ar indraznii din motive lesene de inteles sa aplice legea acolo. Vor fi cateva executari publice care vor tine loc de exemplu si apoi incet incet se vor conforma multi, de frica repet nu din cauza ca simt ca este plus valoare adugata.

Cu toate că România înregistrează cel mai scăzut nivel de utilizare a serviciilor de internet dintre statele membre ale UE, 86 % dintre utilizatorii români de internet au conturi pe rețelele sociale, ceea ce ne face campionii Europei la acest capitol. Având în vedere scandalurile imense în care au fost implicate rețelele de socializare, fie prin breșele de securitate, fie prin utilizarea ilicită a datelor, putem considera că suntem și cei mai vulnerabili. Cum considerați ca ar trebui să se comporte un utilizator de internet, dacă ar fi constient de riscurile pe care internetul le ascunde?

TH: Sa se comporte asa cum simte si in momentul cand utilizezi un program gratis, trebuie sa fi constient ca nimic nu este gratuit si toata lumea colecteaza date care sa te ajute sa iti imbunatateasca experienta ta, sa te ajute sa iti ofere reclamele de care tu chiar ai nevoie, sa te ajute sa gasesti predictiv mai repede ceea ce vrei sa cauti de fapt. In acelasi timp  sa aleaga cu celeritate ce date trebuie sa ofere in schimbul utilizarii si sa stie tot timpul ca exista un risc si sa evite siturile obscure. Dar fara date lumea nu evolua aici unde suntem. Azi traim intr-o frica ca cineva ne fura datele, o frica gresit indusă de multi inclusiv comunicata prost de mass media. Sensul GDPR-ului este profund denaturat si duce la un impact negativ asupra intregii economii europene si asupra inovatiei in special.

Accesul copiilor la internet este deja o normalitate. Ar trebui acest lucru sa ne îngrijoreze? Considerați că o educație privind privind accesul la internet al copiilor ar trebui sa fie o sarcina a părinților sau sistemul de învățământ ar trebui să-și asume acest rol?

TH: Educatia incepe de la cei 7 ani de acasa. Cine o are o multiplica, cine nu pune tableta 24 de ore in mana unui copil. Oricum sistemul nostru de invatamant este tot mai primitiv si antisocial construit. Educatia se face cu oameni educati nu cu programe, sloganuri si proceduri. Efectele le vedem deja in statisticle afectiunilor pediatrice la copii. Atata timp cat nu exista un inteers si un parteneriat intre Ministerul Invatamantului si Ministerul Sanatatii sa o trateze ca si  o problema de Sanatate Publica reala, nu se intampla nimic. Dar pentru acest lucru  cum am spus este enevoie de oameni cu viziune si educati cu un background stiintific.

Facebook a lansat Study, un program de cercetare de piață bazat pe recompense. Cum vi se pare un asemenea concept: să fim plătiți pentru datele pe care le facem publice? Este acesta direcție una corecta?

TH:Daca nu ofeream date la Facebook poate nu ne gaseam prietenii din copilarie. Da este un lucru bun, trebuie sa intelegem ca datele tale , ale mele, ale altora ne ajuta pe toti, datele noastre este contributia noastra la evolutia societatii si datele oferite de tine, de mine, de toti, candva undeva ajuta pe cineva sau salveaza o viata undeva. Acesta este rolul datelor de a crea o lume mai buna, mai sigura mai predictiva.

Conform unui raport DLA Piper (GDPR data breach survey: February 2019), de la data aplicării GDPR-ului și pana în februarie 2019, Autoritatea de supraveghere din Olanda înregistrase 15,400 de notificări de breșe, în timp ce România număra la acea vreme doar 270. Care credeți că este motivul acestei discrepanțe? Suntem noi romanii un popor norocos și breșele de securitate ne evită, ori nu recunoaștem o breșă de securitate nici dacă ne împiedicăm de ea?

TH: Tine de nivelul de cultura si de educatie atata tot. Nu poti cere de unde nu ai. Este un alt indicator care certifica acest lucru ca mai avem mult pana ajungem din urma societati civilizate. Si pana la urma Romania reala nu estea cea din birourile noastre care este infimă statistic.

Identificarea riscurilor este unul din cei mai importanți pași spre complianta GDPR. Dar dacă noi nu resuim sa identificam nici breșele, cum am putea identifica riscurile?

TH: Prin educatie, prin comunicare prin invatamant prin oameni educati prin startegii coerente indreptate spre cetatean in parteneriat cu mediul privat sau de stat in care toti conlucra spre ”binele comun” a unei comunitati, a unei societati in care toti sunt de aceiasi parte. Riscul individual este si un risc comunitar, iare politicile sociale se reflecta la nivel de individ. Daca nu ai o strategie in acest sens nu ai cum sa te astepti la rezultate intr-o curba care sa iti arate imbunatatire continua.

A trecut mai bine de un an de la intrarea în vigoare a GDPR-ului. Ce s-a schimbat în decursul acestui an?

TH: Am invatat ca exista ceva nou care vine de la UE...de care toti ne dam cu parerea dar nimeni nu stie cum functioneaza exact si ce rol are si pe cine ajuta si momentan este o sperietoare cu amenzi nicidecum un intrument de imbunatatire. Pe partea cealata oamenii au invatat ca au depturi si sunt propietarii datelor si sunt mult mai atenti si constienti.

Cum vedeți implementarea Directivei NIS în România? Care sunt cele mai mari provocări ? Ce măsuri au fost luate până în prezent ?

TH: Se spune ca omul sfienteste locul si implementarea va fi exact ca si cei care o implementeaza, daca va fi bine se va implementa bine, daca nu nu, Orice lucru functioneaza exact asa cum il proiectezi si il conduci. Daca va fi haotica, haotica va fi implementata, daca va exista niste puncte strategice, niste cursuri corecte niste masuri, indicatori de calitate, indicatori de performanta masurabili, cuantificabili si acceptati bilateral atunci vom avea rezultate masurabile.

Cine credeți ca ar trebui să se implice mai mult în diseminarea importantei datelor personale? Instituțiile publice, Autoritățile naționale de supraveghere sau ONG-urile din domeniul protecției datelor?

TH: Cred ca toti dintre noi trebuie sa comunicam si sa educam. Schimbarea se face oricum in timp si timpul tine de educatie. In viata importat este sa iti doresti sa faci ceva bun si lucrurile se intampla. Dar cand DPO-ul este doar o alta forma de birocratie si consultanta este o bagatelizare si fiecare spune ce vrea in mediul online atunci ne intoarcem in anarhia sociala a lucrurile fara fond si apare reactia de respingere si rezistenta tocmai pt ca diseminarea informatiei nu a fost facuta corect. Fa un lucru bun si corect si rezultatele vin. Fa o strategie pe termen lung, masoara ce faci, cunatifica ce faci, analizeaza performanta, lucreaza cu indicatori masurabili si nu uita daca nu ai inovatie nu ai nimic.

 

Iți plac articolele dpo-NET.ro? Poți fi la curent cu toate aceste noutăți dacă ne urmărești zilnic pe paginile noastre de LinkedIn sau Facebook. 

NOU! Consultă Registrul Amenzilor GDPR pentru mai multe informații despre sancțiunile acordate în baza Regulamentului 2016/679


Acest articol este protejat de către dispoziţiile legale incidente și este interzisă copierea, reproducerea, recompilarea, modificarea, precum şi orice modalitate de exploatare a acestuia. Articolele publicate pe DPO-NET.RO pot fi preluate doar în limita a maxim 500 de caractere, fără a depăşi jumătate din totalul de caractere, şi cu citarea obligatorie a sursei, cu link activ. Orice abatere de la această regulă constituie o încălcare a Legii 8/1996 privind dreptul de autor. Dacă sunteţi interesaţi de preluarea ştirilor și articolelor publicate pe DPO-NET.RO, vă rugăm să ne contactati.

Radu Crahmaliuc: „Spitalele de stat din România nu sunt pregătite să ne proceseze datele”

INTERVIU EXCLUSIV

Vizualizari: 2127

Facebooktwittergoogle_plusredditpinterestlinkedinmail

Radu Crahmaliuc este fondatorul Cloud☁mania, una dintre cele mai populare platforme independente de cunoștințe și servicii din Europa de Est Centrală care s-a dezvoltat pe următorul principiu: "cele mai bune practici se bazează pe diversitatea serviciilor profesionale, abilitatea de personalizare, expertiza internațională și oferta flexibilă centrată pe client.". În prezent este Analist GDPR și Consilier în afaceri la  GDPR Ready! și a acceptat provocarea dpo-NET a de răsăunde al cele mai arzătoare întrebări despre GDPR ale momentului. 

Scopul GDPR-ului nu este de a da amenzi ci de a proteja persoanele. Cu toate acestea, după 3 ani de la intrarea în vigoare a Regulamentului doar 67% dintre Europeni au auzit de GDPR, în timp ce doar 36% au declarat că știu ce este acest regulament (date prezentate de Comisia Europeana în sondajul Eurobarometru) Credeți ca aceste cifre sunt rezultatul dezinteresului persoanelor în ceea ce privește protejarea datelor lor?

RC: Fără să luăm aceste cifre la modul absolut, ca cetățeni europeni se poate spune că principalul motiv este lipsa de informare legată de drepturile noastre fundamentale la viață privată și la protecția datelor cu caracter personal, garantate de art. 7 și art. 8 din Carta Drepturilor Fundamentale a Uniunii Europene și de art. 16 din Tratatul privind Funcționarea Uniunii Europene. De unde această lipsă de informare? Ori nu le pasă ce se întâmplă cu datele lor personale, considerându-se în afara oricărui risc cu implicații majore, ori, pur și simplu nu știu... Deși din 2016 se tot vorbește despre asta, sunt foarte mulți cei care nu știu pentru că nu a stat nimeni să le explice. Și acesta este rezultatul direct al lipsei de eficiență al programelor de comunicare din partea autorităților naționale de supraveghere.

Care credeți ca vor fi consecințele acestei lipse de conștientizări a importantei datelor în rândul persoanelor, pe termen lung?

RC: Pe termen lung trebuie să privim figura de ansamblu asociată eforturilor UE de construire a pieței unice digitale. O Europă digitală nu poate fi construită fără cetățeni digitali. Așa că, să fim optimiști, și să sperăm că pe termen lung oamenii vor deveni tot mai conștienți de drepturile lor, și de importanța respectării drepturilor celorlalți prin prelucrarea adecvată a datelor personale în procesele de business în care sunt antrenați.  

Un studiu ASCPD atragea atentia la inceputul acestui an asupra acestor statistici din unitatile medicale Romanesti: 37,44% din instituţiile sanitare cuprinse în analiză s-au confruntat cu incidente de securitate şi cu toate acestea 73,85% din total nu au implementat un plan de reacţie la incidentele de securitate. De asemenea, sondajul a scos în evidenţă că 70,26% încă folosesc adrese de email @yahoo.com şi @gmail.com în interes profesional în interiorul reţelei, expunând astfel organizaţia unor riscuri care pot fi evitate. Din sondaj a mai reieşit că 11,28% nu au implementat sisteme tehnice de protecţie antivirus, cel mai des invocând lipsa fondurilor. Cum comentati aceste rezultate?

RC: Ținând cont de caracterul special al datelor prelucrate în unitățile medicale acest lucru mi se pare revoltător. Nu au nicio scuză pentru asta. Spitalele de stat din România nu sunt pregătite să ne proceseze datele așa cum cere legea, deși în ultima perioadă sunt tot mai multe cazuri de atacuri informatice. Și nu faptul că au adrese pe Yahoo e cel mai grav, ci că nu au un DPO. Din analiza GDPR Ready efectuată pe un eșantion de peste 450 de site-uri, a reieșit că 9 din 10 spitale publice nu au o Politică de Securitate pe site.

Având în vedere atacurile cibernetice asupra sistemului sanitar românesc din ultimele saptămâni, ce măsuri considerați că trebuie luate imediat ?

RC: Pe linia celor spuse anterior, răul trebuie tratat de la rădăcină. Ar trebui formată o echipă operațională din membrii Min. Sănătății, Min. Com.&TI, CERT.RO și alte organisme, care împreună cu Autoritatea de Supraveghere să pună la punct un set de Norme sau un Cod de Conduită menit să reglementeze politica GDPR în domeniul sănătății publice. Spitalelor care nu au capacitatea să adere la acest Cod de Conduită ar trebui să li se aplice niște penalități administrative. In paralel trebuie făcute eforturi pentru sensibilizarea conducerilor acestor spitale, care trebuie să înțeleagă faptul că pe lângă responsabilitatea actului medical o au și pe aceea de adopție de măsuri tehnice și operaționale adecvate.

Este esențial ca persoanele să identifice prelucrările ilegale de date pentru a-și putea exercita drepturile. Cât este de important sa-ți cunoști drepturile atâta timp cât nu poți identifica o prelucrare ilegală? Pe ce ar trebui să se axeze campaniile de informare a persoanelor?

RC: Nu este necesar ca persoanele vizate să identifice prelucrările ilegale. Aceasta este obligația operatorilor și procesatorilor de date. Desigur, noi putem observa în destule cazuri că ceva este în neregulă cu datele noastre, dar e mult mai important ca noi să ne cunoaștem în primul rând drepturile și să știm să acționăm în consecință.

Care credeți că ar fi cea mai scurta cale spre creșterea gradului de conștientizare și complianta GDPR: educarea persoanelor sau educarea operatorilor?

RC: Acest proces de educare trebuie să acopere tot. Ca persoane vizate avem datoria să fim primii care să ne informăm și să ne protejăm datele, cunoscându-ne drepturile. Ca operatori sau procesatori, nu trebuie să uităm că și noi suntem în aceeași situație cu persoanele vizate ale căror date le prelucrăm și în consecință trebuie să ne înțelegem responsabilitatea pentru rolul pe care îl jucăm. În proiectele mele și la cursuri le explic întotdeauna clienților că respectarea unor norme elementare de securitate, din care majoritatea nici nu țin de GDPR, trebuie să devină o normalitate, precum spălatul pe dinți sau verificarea apei, gazului și a electricității atunci când plecăm de acasă. O politică de securitate IT și un plan de breșe sunt la fel de obligatorii și de utile ca măsurile de protecție în caz de incendiu sau instrucțiunile de evacuare a unei clădiri.

În România, până în acest moment, s-au acordat trei amenzi pentru nerespectarea GDPR și autoritatea condus aproape 1.000 de investigații, adoptând o atitudine orientată spre prevenție și dispunerea de măsuri corective. Considerați că Amenzile au un rol important în aplicarea GDPR-ului? Din experienta dvs practică, cei mai mult operatori se conformeze cu GDPR-ul din responsabilitate sau de frica amenzilor?

RC: A fost un moment de evoluție a cauzelor de responsabilizare: la început, imediat după anunțarea aprobării noului regulament în mai 2016, toată lumea s-a speriat de mărimea amenzilor și de celelalte modificări cu care venea GDPR în raport cu vechea legislație. Ulterior, pe măsură ce ne apropiam de momentul 25 mai 2018 și foarte puțin după aceea, nevoia de conformitate a venit ca un tăvălug, având ca mix de surse responsabilizarea, exemplul altora sau teama de necunoscut. Apoi s-a intrat în cunoscuta perioadă de acalmie în care nimeni nu a mai făcut nimic pentru că nici nu s-a întâmplat nimic. Eram împreună la un eveniment dedicat unui an de GDPR când mulți oameni din domeniu apreciau că e nevoie de amenzi ca să se întâmple ceva. Părerea mea este că trebuie insistat pe necesitatea transformării în business, că trebuie învinsă rezistența la schimbare și că trebuie arătate celor responsabili toate beneficiile induse de un proces de asigurare a conformității: adoptarea de norme și reguli ne face mai eficienți, reduce pericolele interne și ne asigură o etichetă de încredere față de ecosistemul de business în care evoluăm. Părerea mea este că cele 2 amenzi anunțate și probabil alte 5-6 care sunt pe rol nu au cum să determine brusc peste 50% dintre managerii din România că trebuie să facă ceva. Să nu uităm că sunt încă foarte mulți care nu știu despre ce este vorba și care sunt convinși că organizațiile lor nu au nimic de-a face cu datele personale... Trebuie continuat cu mare sârguință procesul de conștientizare și sensibilizare în masă. Legat de cele 2 cazuri apărute la noi, aș comenta numai atât. E foarte ciudat că s-a ajuns la asta, pentru că ambii operatori, prin natura activității,  ar fi trebuit să fie compatibili și pentru legea 677/ 2001. Puteau fi evitate aceste vulnerabilități? Cu siguranță, dacă cei 2 operatori s-ar fi gândit și la verificarea adecvării tehnice și operaționale. Nu știu cum s-au petrecut lucrurile intern, dar cineva a tratat totul cu superficialitate, limitându-se probabil la asigurarea necesarului de documente. Legat de al doilea caz, sunt mulți care consideră că documentele pe suport de hârtie nu intră sub incidența GDPR. S-a văzut cât de păgubitoare poate să fie o astfel de atitudine...

Credeți că instituțiile publice ar trebui sa fie un exemplu pentru restul operatorilor? Punem această întrebare pentru că în Romania avem un tratament preferențial pentru instituțiile publice, amenda maxima pentru nerespectarea GDPR-ului fiind de 200.000 lei (aproximativ 42.000 euro), cu mult inferior față de ceea ce risca operatorii privați.

RC: Legat de ce se întâmplă în instituțiile publice, prefer să nu comentez. Ne batem cu morile de vânt. Politizarea schimbă radical regulile jocului. Aștept cu nerăbdare, ca pe o curiozitate profesională, nu din dorințe revanșarde, primul anunț al Autorității care vizează o instituție publică...

Cu toate că România înregistrează cel mai scăzut nivel de utilizare a serviciilor de internet dintre statele membre ale UE, 86 % dintre utilizatorii români de internet au conturi pe rețelele sociale, ceea ce ne face campionii Europei la acest capitol. Având în vedere scandalurile imense în care au fost implicate rețelele de socializare, fie prin breșele de securitate, fie prin utilizarea ilicită a datelor, putem considera că suntem și cei mai vulnerabili. Cum considerați ca ar trebui să se comporte un utilizator de internet, dacă ar fi constient de riscurile pe care internetul le ascunde?

RC: Depinde de modul în care rețelele sociale afectează integritatea datelor noastre personale prelucrate de operatori. Statisticile de utilizare a Internetului amintite se referă la activități de navigare și accesare individuale. Ca indivizi suntem expuși, iar faptul că 86% dintre utilizatorii români au cont de social media, prin extinderea analizei la volumul total al populației, cifrele devin nerelevante și nu cred că suntem cei mai vulnerabili din Europa din această perspectivă. Vulnerabilitatea noastră constă în analfabetismul digital, și în faptul că nu știm sau nu putem să folosim tehnologiile digitale așa cum trebuie. Studiile DESI ne-au situat an de an pe ultimele locuri din UE (ultimii sau penultimii într-o strânsă tovărășie cu Bulgaria). Digital Economy and Society Index (DESI) este un index compozit ce cumulează indicatorii specifici pentru 6 direcții de activitate ce implică pregătirea digitală: conectivitatea, abilitățile digitale ale capitalului uman, folosirea serviciilor Internet de către cetățeni, integrarea tehnologiilor digitale în business, folosire serviciilor publice digitale și nivelul de dezvoltare al cercetării IT&C.  Ce zice DESI 2019 despre starea digitală a României? https://ec.europa.eu/digital-single-market/en/desi

La Conectivitate suntem pe locul 27 (din 28), la abilitățile digitale tot pe 27, la folosirea Internetului pe 27, la integrarea tehnologiilor pe 27, la folosirea serviciilor publice pe digitale pe 27, iar la nivelul IT&C pe locul 6, ca procentaj al industriei din PIB. Ce e greșit aici?

Accesul copiilor la internet este deja o normalitate. Ar trebui acest lucru sa ne îngrijoreze? Considerați că o educație privind privind accesul la internet al copiilor ar trebui sa fie o sarcina a părinților sau sistemul de învățământ ar trebui să-și asume acest rol?

RC: Răspunderea pentru copii o poartă în primul rând părinții. Mulți dintre copiii care au posibilitatea intră pe Internet înainte de școală. Părinții au principalul rol în educația digitală a copiilor și asta se referă nu numai la crearea de conturi sau postarea pozelor pe Internet. În cazul GDPR pentru copii sub 16 există obligația obținerii acordului părintelui, dar să nu uităm că nu totdeauna decizia unui părinte privitoare la datele personale făcute publice presupune și acordul copiilor pentru acest lucru. Școala are rolul ei, prin integrarea elevilor în programe educaționale care să-i învețe ce și cum să folosească de pe Internet, dar educația digitală de bază se face în cei 6 ani de acasă...

Facebook a lansat Study, un program de cercetare de piață bazat pe recompense. Cum vi se pare un asemenea concept: să fim plătiți pentru datele pe care le facem publice? Este acesta direcție una corecta?

RC: Decizia aparține întotdeauna utilizatorului și întotdeauna există o miză, o momeală, prin care acesta e convins să facă ceva. Tot procesul acesta trebuie să fie transparent și dacă luăm o decizie, să cunoaștem toate implicațiile acesteia.

Conform unui raport DLA Piper (GDPR data breach survey: February 2019), de la data aplicării GDPR-ului și pana în februarie 2019, Autoritatea de supraveghere din Olanda înregistrase 15,400 de notificări de breșe, în timp ce România număra la acea vreme doar 270. Care credeți că este motivul acestei discrepanțe? Suntem noi romanii un popor norocos și breșele de securitate ne evită, ori nu recunoaștem o breșă de securitate nici dacă ne împiedicăm de ea?

RC: Cauzele sunt legate de alfabetizarea digitală. A se vedea comentariile de la întrebarea nr.9

Identificarea riscurilor este unul din cei mai importanți pași spre complianta GDPR. Dar dacă noi nu reușim sa identificam nici breșele, cum am putea identifica riscurile?

RC: Sunt două lucruri diferite. Riscurile sunt cauza, iar breșele sunt consecințele. Identificarea breșelor ține de latura tehnologică a sistemelor de protecție cybersecurity. Analiza de risc este un proces care se face în avans și care ține de componentele umane, operaționale și tehnice ale unei organizații.

A trecut un an de la intrarea în vigoare a GDPR-ului. Ce s-a schimbat în decursul acestui an?

RC: Am comentat destul de mult pe tema asta în articolele din GDPR Ready. Nu putem spune că nu s-a întâmplat chiar nimic. Cei mai mari operatori și-au făcut temele prin derularea de activități de conformitate. După depășirea momentului de panică din ziua de 25 mai 2018, când foarte multe companii și-au canibalizat bazele de date, s-a intrat într-o perioadă de aparent calm, în are mulți operatori au adoptat o atitudine sănătoasă de pregătire și asimilare, și-au instruit oamenii și aparent sunt la un nivel de conformitate care să le asigure un anumit grad de confort. Partea proastă este că acest grad de confort dispare imediat la cea mai mică tentativă de atac. Partea cea mai proastă este că fiecare și-a construit un castel din cărți de joc, dar puțini s-au preocupat de edificarea unei reale Culturi GDPR care să le asigure temeinicia construcției. Exemple clare sunt cele două cazuri devenite publice de la noi. Puteau fi evitate breșele de securitate? Cu siguranță, dacă cineva ar fi urmărit modul de punere în practică a livrabilelor și controalelor adoptate. Știu destul de puține cazuri în care operatorii au avut timpul și resursele să simuleze intern sau extern apariția unor breșe. Despre analizele DPIA ce să mai vorbim. Deși aici lucrurile sunt de clare, nivelul de confuzie e destul de mare cu toate ghidurile WP29 și aplicația software realizată de CNIL. O bună analiză de impact poate avea rolul implementării unui standard și reprezintă cel mai elocvent barometru pentru conformitatea acțiunilor întreprinse într-un proiect GDPR. Desigur. Specialiștii recomandă DPIA în cazul noilor procese de business, dar pentru sănătatea afacerii este bine să facem o astfel de analiză și în cazul proiectelor GDPR realizate până acum. Numai așa avem posibilitatea documentată de a vedea că ceva nu e în ordine, că ce apare în documente nu se pupă cu realitatea...     

Cum vedeți implementarea Directivei NIS în România? Care sunt cele mai mari provocări ? Ce măsuri au fost luate până în prezent ?

RC: Legea nr. 362 din 2018 privind asigurarea unui nivel comun ridicat de securitate a rețelelor și sistemelor informatice a intrat în vigoare de la 12 ianuarie 2019, ca transpunere a Directivei UE 2016/1148 și are ca scop creșterea nivelului de pregătire a statelor UE pentru a face față la incidentele de securitate informatică. Spre deosebire de GDPR, companiile din cele 7 segmente industriale ce intră sub incidența NIS erau destul de bine pregătite theoretic pentru noile prevederi. Faptul că CERT.RO a fost stabilit ca organism de reglementare, supraveghere și control și care va îndeplini și cu funcție de Punct Unic de Contact la nivel national și de echipă CSIRT națională este un lucru foarte bun. Provocările, ca și la GDPR sunt legate de punerea efectivă în aplicare și care intră clar în atribuțiile CIO din fiecare organizație.

Cine credeți ca ar trebui să se implice mai mult în diseminarea importantei datelor personale? Instituțiile publice, Autoritățile naționale de supraveghere sau ONG-urile din domeniul protecției datelor?

RC: Este un efort care ne privește pe toți. De obicei evit să comentez activitatea celor îndreptățiți să coordoneze această diseminare. Este treaba lor și pentru toată lumea e clar că s-a făcut prea puțin pentru asta. Acesta este motivul pentru care a apărut inițiativa GDPR Ready, din dorința de a suplini lipsa de informație și de a oferi operatorilor și procesatorilor de date personale informații concrete despre ce au de făcut. După o serie de 15 articole de fundamentare GDPR au urmat publicarea celor 3 Cataloage GDPR Ready, o premieră absolută nu numai pentru piața din România, evenimente și paneluri dedicate, un site special, un newsletter, un grup dedicat de discuții pe LinkedIn și, cel mai recent, studii și analize de piață privitoare la stadiul asimilării. Astea toate s-au făcut Pro Bono și în completarea activităților curente de consultanță, formare, business development și auditare internă. Mai sunt multe de făcut, nu ducem lipsă de proiecte, dar toate la vremea lor...

 

Iți plac articolele dpo-NET.ro? Poți fi la curent cu toate aceste noutăți dacă ne urmărești zilnic pe paginile noastre de LinkedIn sau Facebook. 

NOU! Consultă Registrul Amenzilor GDPR pentru mai multe informații despre sancțiunile acordate în baza Regulamentului 2016/679


Acest articol este protejat de către dispoziţiile legale incidente și este interzisă copierea, reproducerea, recompilarea, modificarea, precum şi orice modalitate de exploatare a acestuia. Articolele publicate pe DPO-NET.RO pot fi preluate doar în limita a maxim 500 de caractere, fără a depăşi jumătate din totalul de caractere, şi cu citarea obligatorie a sursei, cu link activ. Orice abatere de la această regulă constituie o încălcare a Legii 8/1996 privind dreptul de autor. Dacă sunteţi interesaţi de preluarea ştirilor și articolelor publicate pe DPO-NET.RO, vă rugăm să ne contactati.

Adrian Munteanu: În România găsim „un număr imens de „consultanți GDPR„ care au apărut de nicăieri”

Cu o experiență de peste 13 ani în proiecte de audit (internet banking, securitate IT, proiecte IT, proiecte finanțate prin fonduri UE), consultanță (continuitatea afacerii, analiză de impact, […]

Filip Truță: „Noua soluție Bitdefender 2020 protejează intimitatea utilizatorilor”

Filip Truță, security analyst la Bitdefender, a acordat un interviu in exclusivitate  pentru dpo-NET .ro despre GDPR și despre tehnologiile noi din soluția de securitate Bitdefender 2020 care […]

Gordon Wade: “ANSPDCP este pregătită să treacă de la o abordare tolerantă la una activă”

Gordon Wade este avocat specializat în confidentíalitatea și protecția datelor la PwC Legal Middle East, cu sediul în Dubai, și a acceptat cu entuziasm să ofere un interviu […]

Nicolae Ploeșteanu: „ONG-urile sunt cele care trebuie să se implice cel mai mult în România”

Nicolae Ploeșteanu a absolvit studiile juridice în anul 1995, la București și este Doctor în drept din anul 2005, făcând numeroase specializări în țară și în străinătate, în […]

Ana-Maria Udriște: “ Este foarte important să alegi o persoană care să te ajute în implementarea GDPR și să te facă să înțelegi că documentația nu este suficientă”

“România, trei amenzi GDPR, două premiere europene”, așa am putea sintetiza contextul în care se află țara noastră, asistând în ultimele zile la o lecție GDPR în trei […]

Daniel Suciu: A fost nevoie de două amenzi pentru a readuce GDPR-ul în vizorul operatorilor

În cei peste 30 de ani de activitate profesională, Daniel Suciu s-a implicat activ în aproape toate ariile de interes pentru Protecția datelor. A avut curiozitatea și oportunitatea […]

Analizăm prima amendă GDPR din România împreună cu Cristiana Deca

Anunțul primei amenzi GDPR în România a răsunat pe toate canalele de știri, stârnind interesul multora, motiv pentru care am rugat-o pe Cristiana Deca, unul dintre primii specialiști […]

Sergiu Bozianu: În Republica Moldova putem aplica amenzi contravenționale persoanelor cu funcție de răspundere

Sergiu Bozianu este în primul rând un profesionist în domeniul protecției datelor din Republica Moldova, ultima funcție publică fiind cea de director adjunct în Direcția Generală Supraveghere și […]