Înainte de a parcurge acest articol-manifest vă invit să răspundeți singuri la o întrebare: „Dacă ideea de a fi tratat de un fals doctor vă înspăimântă, v-ați lăsa firma „tratată” de un pretins consultant GDPR certificat?”. Da, știu, este o comparație puțin exagerată, doar una dintre aceste activități punând viața noastră pericol, însă  „viața” business-ului tău, pentru creșterea căruia probabil ai muncit ani de zile și pentru care te lupți zilnic din dorința de a-l urca cât mai sus pe culmile succesului, cât de importantă este pentru tine?

Dacă sanatatea afacerii este importantă pentru tine, atunci ar trebui să citești mai departe

Mi-a fost semnalată o practică, otrăvită aș zice eu, prin care firme de consultanță specializate în protecția datelor personale, din dorința obsesivă de a contracta cât mai mulți clienți, recurg la practici mai puțin oneste, un marketing mincinos ar spune unii, o treabă vădit ilicită spun alții. Inițial nu i-am dat importanță, însă am observat că „gluma” se tot îngroașă!

Mai precis, mai multe firme de consultanță își ademenesc clienții lăudându-se cu certificări sau autorizări care exista doar în imaginația lor.

Te rog sa nu percepi acest „manifest” drept o încercare de „reglare de conturi” între concurenți, ci drept semnal de alarmă adresat operatorilor care pot cădea cu ușurință pradă acestei înșelăciuni.

Inevitabil îmi vine pe limbă o altă întrebare pe care te invit să reflectezi: "dacă descoperi că cineva te-a mințit încă din prima clipă, mai ai încredere sa lașii soarta afacerii tale în mainile mincinosului?"

Fără să fac un research amănunțit, m-am împiedicat sau mi-a fost dat sa aflu despre cateva astfel de exemple.

• Voi începe cu cea mai neinspirată reclamă, zic eu, dintre ele. 

Pe site-ul său, o firma de consultanță în protecția datelor a subliniat încă în logo-ul său că deține „Experți certificați de Minister*”. Observând steluța de la final am căutat pe pagina lor însemnătatea acesteia, dar fără vreun rezultat. 

Dar oare ce minister ar fi putut să-i certifice? Primul care mi-a trecut prin cap a fost Ministerul Justiției, așa că am luat la puricat site-ul ministerului pentru a căuta calea spre dobandirea statutului de „expert certificat de minister” în protecția datelor. Lista persoanelor certificate de MJ cuprinde traducatori, notari, executori judecătorești, experți criminaliști, operatori autorizați ai AEGRM (Arhiva Electronică de Garanţii Reale Mobiliare), dar nimic legat de protecția datelor. Atunci m-am gândit că poate se referă la experții înscriși în Registrul Naţional al Evaluatorilor de Risc la Securitate Fizică, registru de care se îngrijește Poliția Română, dar securitatea fizică este una iar protecția datelor este cu totul altceva. 

Într-un final m-am resemnat și am abandonat căutările și îți voi explica mai jos de ce sunt absolut sigur că în acest moment nu exista un “minister steluță’ care sa ofere o certificare în domeniul protecției datelor și nici nu cred ca va exista curand o asemenea certificare.

Dar ce sa vezi, asta nu este tot! Trec peste șocul suferit la vederea logo-ului și dând scroll down pe pagina principala dau de ceva ce m-a dărâmat de pe scaun!

Aceștia nu numai că au „experți autorizați” de ministerul steluță, dar societatea respectivă este și ea certificată și nu de oricine, de însăși autoritatea națională în materie de protectia datelor ANSPDCP.

Va spun sincer ca probabil i-as fi crezut dacă n-aș fi avut un strop de habar de GDPR și de existență articolelor 42 și 43 din Regulament care prevăd obiectivele, garanțiile și rolurile actorilor, împreună cu principiile generale pentru procesele de certificare și acreditare.

• Cel de-al doilea exemplu în topul „rușinică” pare a veni din direcția unei asociații profesionale. Greu de crezut, nu?

Pe unul din grupurile de pe Facebook dedicate protecției datelor, în care s-a nimerit să fiu și eu înscris, a fost publicată, de către o asociație de experți, o „OFERTĂ GENERALĂ GDPR”, prin care asociația urmărea promovarea serviciilor unei companii comerciale private.

Sigur mă veți acuza de subiectivism, eu însumi făcând parte dintr-o asociație, însă vă asigur că respectarea valorilor după care mă ghidez în viață sunt incompatibile cu astfel de practici.

Primul lucru care mi-a atras atenția a fost numele asociației „profesionale”, constituită din „experți GDPR”, fapt pentru care nu pot să nu mă întreb cum membri acestei asociații au atins statutul de „experți” atâta timp cât această calificare sau calitate nu este reglementată în acest moment în România sau în Europa. Titulatura de „expert” depășește în grad certificarea de "Responsabil cu protecția datelor" și, de regula, implică o experiență dovedită și sustinerea unui examen în fața unei autorități sau organizații careia i s-a oferi aceasta prerogativă prin lege, in baza unui standard ocupațional sau similar. O persoană neinițiată va fi ușor impresionată și convinsă prin utilizarea însemnelor naționale precum stema României, drapelul sau de sigla unor instituții ale statului. 

În fine, știu că îmi bat capul de pomană așa că revin la subiect. Iată cum este prezentată societatea comercială respectivă:

Cu un ochi râd, cu unul plâng. În concluzie avem o asociație formată din „Experți GDPR„ iluzorii, care nu doar că s-au coagulat dând naștere unei entități juridice, dar au și puterea de a autoriza alte persoane juridice pentru ca acestea din urmă să ofere consultanță GDPR. Să mai menționăm și faptul că specialiștii propuși de firma respectivă ocupă posturile de management în asociația respectivă? Adică eu mă autorizez pe mine însumi.Pe bune? 

• Cei din urmă, dar la mare distantă față de primii 2 din clasament

Cu un marketing agresiv a intrat pe piața GDPR o companie care probabil inițial se ocupă de realizarea de site-uri. M-au contactat pe numărul de telefon postat pe un site al unui business B2B pentru a mă anunța că site-ul nu era aliniați la GDPR și pentru a-si prezenta serviciile, subliniindu-mi totodată că risc o amendă de milioane de euro. Evident că i-am întrebat ce-i „recomanda” pentru aceasta activitate iar răspunsul a fost foarte concis: „suntem firma autorizata și avem angajat un DPO”. Am cerut informații despre respectiva autorizare și după 30 de secunde de fâstâceală și consultare cu colegii mi s-a răspuns „ANC”. 

Captură foto din oferta pe care am primit-o

În concluzie, conform spuselor lor, ar fi suficient să angajezi un „ofițer DPO”, adică un „Responsabil cu protectia datelor cu caracter personal”, care a urmat un curs acreditat ANC pentru ca acea certificare ANC a DPO-lui să se transmită firmei.. nu? Mind-blowing! 

ATENȚIE: nu contest calitatea individuală a specialiștilor angajați ai acestor 3 organizații, ci doar semnalez un mic neadevăr strecurat intenționat sau accidental printre rânduri.

Cred că mi-am făcut suficienți „dușmani” pentru o zi, însă nu voi încheia fără să argumentez de ce sunt aceste afirmații doar niște erori.

Acum aproape 2 luni am scris un articol în care am explicat de ce nu vom avea organisme de certificare și implicit firme certificate în ceea ce privește respectarea regulamentului GDPR.

Așa cum semnalam în acel articol, asemeni certificarilor ISO, pentru a exista firme certificate trebuie să existe organisme de certificare. Solicitând un punct de vedere al Autorității Naționale de Supraveghere a Prelucrării Datelor (ANSPDCP) pe acest subiect, aceasta ne-a comunicat următoarele: “[...] la nivel național, potrivit Regulamentului (CE) nr. 765/2008, RENAR este entitatea care va acredita organismele de certificare, în temeiul articolului 43 din Regulament”.

Prin urmare am solicitat un punct de vedere și celor de la RENAR, pentru a afla cat mai avem de așteptat până la apariția standardului pentru certificarea GDPR. Aceștia ne-au comunicat că “Autoritatea Națională de Supraveghere a Prelucrării Datelor nu a prezentat cerințele suplimentare stabilite de autoritatea de supraveghere menționate la pct. Art. 43 (1) b) din Regulamentul (UE) 2016/679, cerințe care sunt necesare pentru dezvoltarea schemei de acreditare pentru domeniul menționat la art. 43”. Aceștia au mai adăugat că “Activitățile de acreditare a organismelor de certificare se vor putea desfășura numai după finalizarea schemei de acreditare și publicarea mapei de documente informative”.

Mai simplu spus, în 3 etape:

1. În baza art. 43 din GDPR, ANSPDCP transmite celor de la RENAR cerințe suplimentare standardului EN-ISO/IEC 17065/2012.
2. RENAR dezvolta schema de acreditare în baza căreia acreditează entități juridice care vor avea calitatea de organisme de certificare.
3. Aceste organisme de certificare vor analiza planificarea, controlul, evaluarea și corectarea proceselor organizațiilor care vor dori să se certifice, astfel încât să se asigure că acestea corespund normelor standardului în materie de protecție a datelor. Cele care vor corespunde acestui standard vor primi o certificare care va atesta acest lucru, similară cu certificarile ISO.

Ce trebuie să rețineți este faptul că în prezent încă nu s-a trecut de prima etapă!

10 sfaturi pentru alegerea unui consultant profesionist

1. Înainte de a stabili o intalnire, analizează în amănunt site-ul sau pagina de facebook consultantului respectiv. Practic site-ul sau conturile de social media spun foarte multe. Analizati coerența, claritatea cu care a fost organizată informația, pentru așa va organiza și datele voastre.
2. Evită ofertele „too good to be true”. În general acestea se dovedesc a fi servicii de o calitate îndoielnică.
3. Solicită cat mai multe informații despre calificarea specialistului GDPR. Faptul ca are studii juridice, sau eventual un curs urmat online nu înseamnă automat că este „calificat” sa ofere consultanta de specialitate în domeniul protectiei datelor.
4. Solicită informații despre experiența specifică a consultantului în domeniul de activitate al afacerii tale.
5. Invită consultantul GDPR la sediul tău pentru a-ți cunoaște firma și a înțelege business-ul. Teoretic este foarte dificil de realizat o evaluare inițială în vederea ofertarii din scaunul de la birou.
6. Atenție la firmele care se laudă cu certificări, experți autorizați de ministere sau altele asemenea. Verifică dacă acestea exista. Solicită dovezi înainte de a semna contractul.
7. Evită să apelezi la o firma care a angajat un „DPO” dar de tine se va ocupa femeia de serviciu. Asigură-te că pe toata durata contractului vi beneficia de personal de specialitate care ti-a fost promis la semnarea contractului.
8. Asigură-te că în contract sunt prevăzute traning-ul angajaților angajați și asistență pe durata implementării. Altfel te vei trezi cu un teanc de hârtii fără valoare.
9. un consultant GDPR trebuie sa dețină atat cunoștințe juridice cat și IT. Alinierea la GDPR nu înseamnă numai măsuri organizatorice ci și tehnice. Cum deținerea cumulativa a acestor calități este rară, îți recomand să cauți echipe mixte de specialisti cu experienta atat în juridic cât și în securitate IT
10. Evită să semnezi un contract în care firma de consultanta nu-și asumă responsabilitatea pentru indicațiile ce are vi le oferă. Este drept că niciun consultant nu-și va asuma în totalitate răspunderea unei eventuale amenzi atâta timp cât acesta doar vă asigură consilierea de specialitate iar respectarea indicațiilor sale cade în sarcina ta, însă ce te faci dacă te-a consiliat eronat?

P.S.1. Citind cu voce tare cele 10 criterii, realizez că nici eu nu prea mă încadrez. Dar asta e bine, așa realizez unde sunt minusurile pentru a le putea transforma în plusuri. 

P.S.2. Acest articol reprezintă o opinie personală și nu poate sub nicio formă să fie asociată platformei DPO-Net.ro

Vă invităm marți, 12 Aprilie 2022, de la ora 17, să participați ONLINE la lansarea cărții "SECURITATEA REȚELELOR ȘI A SISTEMELOR INFORMATICE. IMPLEMENTAREA DIRECTIVEI NIS ÎN ROMÂNIA" a autorilor Marius Dumitrescu și Daniela Simionovici.

Acest proiect editorial apărut în colecția Științe Juridice la Editura Universitară, unic pe piața din România, se adresează operatorilor de servicii esenţiale, furnizorilor de servicii digitale şi responsabililor cu implementarea NIS la nivelul entităţilor vizate de prevederile Directivei NIS (energie, transport, sectorul bancar, domeniul medical, infrastructuri ale pieței financiare, infrastructură digitală, furnizarea și distribuirea de apă potabilă, piețe online, motoare de căutare online și servicii de cloud computing).

Scopul acestei cărți este de a-i ajuta pe cei vizaţi nu doar să implementeze prevederile Directivei, ci să înţeleagă importanţa acesteia şi, mai ales, faptul că serviciile esenţiale pe care le furnizează au nevoie de o protecţie deosebită nu pentru faptul că nerespectarea Directivei ar atrage după sine amenzi, ci pentru faptul că orice perturbare în furnizarea serviciilor esenţiale se poate traduce în disfuncţionalităţi grave la nivel comunitar şi chiar societal.

Participanții la evenimentul de lansare vor primi un discount de 10% pentru achiziția cărții. Preț întreg: 150lei / Preț special de lansare: 135lei  Transportul prin curier se calculează suplimentar.

Puteți plasa chiar acum o precomandă și veți primi cartea imediat după lansare. 

RĂSFOIEȘTE CUPRINSUL CĂRȚII | DESPRE AUTORI | CUVÂNT ÎNAINTE | INTRODUCERE

Titlu: Securitatea reţelelor şi a sistemelor informatice. Implementarea directivei NIS în România

• ISBN: 978-606-28-1430-4
• Format: Tipărit  
• Pagini: 452
• Autori: Marius DUMITRESCU, Daniela SIMIONOVICI
• Publicat de: Editura Universitară, Colecţia Ştiinte juridice
• Data aparitiei: 2022

TRANSMISIUNE LIVE - LANSARE

Lansarea acestui proiect editorial se va face online, marți 12 aprilie 2022 începând cu ora 17:00, printr-o transmisiune LIVE pe Facebook, Linkedin, Youtube, Conferinte.ro si dpo-net.ro  la care vor lua parte mai mulți invitați speciali.

DESPRE ACEST PROIECT EDITORIAL

In domeniul protecției datelor în România, anul 2021 a debutat cu relansarea pe piață a carții "GDPR Aplicat. Instrumente de lucru pentru implementarea Regulamentului UE 679/2016" ( Editia 1, Editura Wolters Kluwer). Cartea este disponibilă în webshop-ul dpo-net.ro si poate fi comandată la prețul promoțional de 110 lei. 

Conf. Univ. Dr. Nicolae Ploeșteanu - Directorul Centrului pentru Protecția Datelor - Universitatea de Medicină, Farmacie, Științe și Tehnologie „George Emil Palade” din Târgu Mureș a avut amabilitatea sa semneze prefața acestei ediții:

"Apariția volumului GDPR Aplicat, ediția a I-a, elaborat de autorii Daniela Simionovici, Daniela-Irina Cireașă, Cătălina Pantilimon și Marius-Florian Dan, reprezintă valorificarea de către aceștia, într-o editură de prestigiu precum Wolters Kluwer, a unui „succes editorial”. Prima ediție a apărut în editura Lumen și, cred eu, că datorită confirmării valorii practice a volumului, autorii au trecut de faza „timidității” începutului editorial și se adresează în prezent prin elaborarea acestei a doua ediții către dimensiunea reală a publicului interesat de domeniul protecției datelor cu caracter personal și, mai ales, către nevoile pieței de a implementa exhaustiv Regulamentul General privind Protecția Datelor, la nivelul operatorilor de date din România.

Volumul GDPR Aplicat este o idee strălucită a unui colectiv de persoane cu experiență practică și însuflețite să își pună amprenta proprie într-un domeniu în emergență, anume domeniul protecției datelor cu caracter personal. Legislația specifică pe care o abordează într-o manieră utilă și formativă este aceea care privește mai ales „GDPR”. Autorii doresc atât să se implice cât și să ofere un instrument antrenant și imediat pentru probleme practice serioase și multiplicate în activitățile curente ale operatorilor de date cu caracter personal. Toate entitățile publice și private sunt interesate să se pună de acord cu ceea ce la momentul de față este „sperietoarea” activității lor. Această intenție are sinuozități și îndoieli dar, în final, se impune practic asemănător unui standard de calitate și, în același timp, complet diferit: este diferența dintre un tablou pictat, privit ca o operă și, pe de altă parte, evoluția și inițierea unui proces juridic; oare cine are dreptate? Răspunsul este oferit cu precauție în paginile volumului acestor pionieri….În final, practica și viitorul vor fi circumstanțele în baza cărora vom argumenta liniile decisive ale acestei îndrăznețe acțiuni: protecția datelor din perspectiva unei societăți mai sigure și a unei vieți private intime fiecărei persoane fizice.

Este necesară această lucrare și îi felicit pe autori și pe cei care au contribuit pe această linie, într-un fel sau altul, la formarea acestora, iar aici mă gândesc în special la cei care au avut inițiativa de a întreprinde la Universitatea suceveană un curs postuniversitar de protecție a datelor, pe care toți autorii acestui volum l-au urmat!

Volumul este consistent: are 752 de pagini și, în esență, 14 capitole tematice, la care se adaugă anexe, bibliografie, figuri și tabele. Volumul se remarcă prin utilitate, nu prin argumentare științifică. Principala metodă de investigație utilizată în realizarea volumului este metoda experimentală.  În cele 14 capitole se tratează atât ideile de esență și directoare ale protecției datelor, precum și măsurile, acțiunile care trebuie întreprinse pentru a asigura implementarea GDPR la nivelul entităților, oferindu-se în mod constant exemple. În partea finală, referitoare la proceduri, modele și tabele ni se prezintă o varietate de exemple. Legat de structura volumul în acest context de evaluare pot fi extrem de încrezător în a afirma că este complet antamat pe necesitățile practice. Demersul autorilor va fi îmbogățit în edițiile viitoare, prin practica viitoare și abordarea unor tematici de nișă, cum este aceea a transferului internațional de date.

Pentru elaborarea volumului GDPR aplicat este cert că autorii au alocat un timp prețios și o disponibilitate aparte, poate chiar încercată și deloc ușoară. La momentul de față, astfel  cum se numește în partea secundă a sa, „Instrument de lucru pentru implementarea Regulamentului UE 679/2016” este instrumentul cel mai valoros de pe piața din România, pentru toți cei implicați în acest fenomen. Nu este un volum științific ci este exact ceea ce se numește: „Instrument de lucru…”. Dar este cel mai bun în domeniul GDPR. Îndrăznesc să afirm, pentru întreaga masă de profesioniști și interesați în domeniu, că utilizând acest volum pot să aibă siguranța conformității pentru o medie a entităților, într-un procent de aproximativ 90%. Oricum, până la apariția vreunui volum mai exhaustiv sau sintetic, acesta este, în opinia mea, sub aspect practic numărul 1 în România.

În mod interesant, lucrarea este utilă atât pentru practicieni cât și pentru directorii executivi ai companiilor. În prima parte, se oferă lecții nenumărate pentru management cum ar trebui să regândească sistemul propriu în care activează și, sigur că da, în același timp practicienii vor avea nenumărate soluții și documente la dispoziție pentru a sprijini companiile sau autoritățile în implementarea GDPR. Spre exemplu, la nivel de management este expusă povestea așteptării unui standard cumpărat și implementat imediat, cu deziluzia că așa ceva nu s-a putut întâmpla…Se caută vina la consultant și nu se poate direcționa juridic. Ce facem de aici încolo? Cât mai trebuie să stăm împiedicați de protecția datelor?

La nivel de executiv, lucrurile se complică deoarece pe lângă aceste instruiri, adevăratul specialist în protecția datelor trebuie să devină un real confident al companiei și să contribuie la rebreduirea acesteia. Va fi acceptat? Va fi înghițit? Volumul răspunde acestor întrebări într-o manieră sinceră și corectă!

Autorii au investit pasiune și interes suprapuse pe ideea importanței formării continue și a observației și cercetării cu demonstrații. Spuneam că autorii sunt într-o mare măsură pionieri: au simțit flexibilitatea și dinamica domeniului și au considerat că pot să afirme reguli, aspect care s-a confirmat în mod evident. De aici, apare una din primele trăsături ale lucrării, anume că la fiecare domeniu și secțiune se începe cu o „poveste” legată de ce se întâmplă în practică atunci când se urmărește implementarea GDPR: totul prinde contur și devine extrem de narativ și util în același timp. Spre exemplu, cuvântul introductiv debutează exact cu cea mai importantă parte a implementării GDPR, anume aceea a conștientizării și educației: „Etica reprezintă o invitație la conștientizarea consecințelor a ceea ce se face”

În al doilea rând, se face o descriere juridică a fiecărui concept principal utilizat în GDPR, inclusiv descrierea faptică alăturată. Dacă deschid la întâmplare volumul, ajung, spre exemplu la pagina 59, unde se vorbește de pseudonimizare, despre care se afirmă în mod corect că „are o componentă obligatorie și anume reversibilitatea acesteia. Reversibilitatea este tehnica inversă pseudonimizării, adică, folosind informații suplimentare, pe care doar operatorul le are, datele pot deveni, din nou, „clare”(…)” Aceasta este o obligație specifică în anumite condiții a operatorului de date.

În al treilea rând se oferă de către autori la fiecare argumentare sistematic prezentată, un exemplu, de regulă referit de ghidurile de implementare și orientare realizate de fostul Grup de lucru articolul 29, în prezent înlocuit de Comitetul european pentru protecția datelor stabilit prin GDPR. Această modalitate de expunere conferă instruire și înțelegere cititorului și practicianului, deoarece exemplele sunt extrem de relevante și fin relevate.

Nu în ultimul rând, trebuie remarcată referirea la practica instanțelor din România și a instanțelor europene în domeniul protecției datelor cu caracter personal, chestiune utilă deoarece contribuie la statuarea definitivă a unor linii de interpretare a domeniului analizat.

Consider că fiecare practician trebuie să aibă această lucrare pentru că îl va ajuta în implementarea GDPR. Lucrarea conține atât conținut cu documentare științifică cât și conținut aplicativ corect dar orientativ și specific ghidurilor.

În ceea ce mă privește, sunt încântat că autorii  Daniela Simionovici, Daniela-Irina Cireașă, Cătălina Lungu și Marius-Florian Dan, mi-au fost pentru o scurtă perioadă „studenți”, deoarece orice dascăl este împlinit când este depășit de proprii studenți. I-am întâlnit cu ocazia unei competiții în domeniul protecției datelor, desfășurată la Târgu Mureș, și am simțit că este vorba de un grup cu potențial reformator. Au demonstrat în interesul comunității din România acest lucru. Le doresc mult succes și felicitări pentru demersurile continue pe care le întreprind în domeniul protecției datelor cu caracter personal."