Cei doi ani care au trecut de la implementarea GDPR nu au reprezentat pentru noi doar provocari, ci au introdus si oportunitati de a invata lectii valoroase. Am intrebat specialisti precum Bogdan Manolea, Serban Popa, Ralucai Puscas, Stefan Iancu, Roxanei Mitroi sau Marius Dumitrescu despre aceste lectii pe care companiile, dar si specialistii in protectia datelor personale, le-au invatat in aceasta perioada si va invitam sa cititi ce ne-au raspuns.
Din perspectiva lui Bogdan Manolea, legal expert, “pentru firmele care chiar doresc sa fie compliant cu GDPR si le pasa de datele personale ale clientilor sau utilizatorilor, lectia principala este ca e un proces mult mai anevoios si mai de durata (pentru mentinerea conformitatii), mai ales daca business-ul este intr-o zona in care trebuie sa fii extrem de flexibil”.
Serban Popa, consultant GDPR la Unity Solutions, declara ca “e greu de spus pentru altii, dar, in privinta mea, am invatat si am repetat: nimeni nu este matur in acest domeniu; trebuie sa analizam punctual in functie de situatie si sa adaptam in functie de risc, de costul investitiei dar, mai ales, cu gandul primar ca protectia persoanei vizate este pe primul loc”.
In opinia Ralucai Puscas, avocat asociat la Filip & Company, “GDPR a educat consumatorii si populatia in general, astfel incat acum persoanele sunt mult mai atente la modul in care companiile le prelucreaza datele. Amenzile au jucat un rol important si exista un proces continuu de invatare pe baza spetelor care apar si a reactiei autoritatilor din spatiul UE. Ne putem astepta deci, ca aspectele legate de privacy sa fie analizate din ce in ce mai indeaproape de consumatori atunci cand instaleaza aplicatii pe telefoane mobile sau utilizeaza diverse produse digitale, conformitatea cu GDPR putand deveni chiar un diferentiator de business pentru companii”.
Specialistul mai adauga: “Alte invataminte pot fi desprinse daca ne uitam la motivele pentru care autoritatea din Romania, dar si cele la nivel european, au aplicat sanctiuni pana acum, intre acestea aparand in mod recurent neimplementarea masurilor tehnice si organizatorice adecvate, care sa asigure securitatea datelor cu caracter personal, lipsa sau nevalabilitatea temeiului legal al prelucrarii ori nerespectarea drepturilor persoanelor vizate. Acestea sunt doar exemple si poate, din perspectiva companiilor, o buna ocazie de a reverifica modul in care au fost implementate anumite cerinte, in cadrul programului de conformitate in derulare”.
Stefan Iancu, consultant GDPR in cadrul companiei iPrivacy, afirma ca: “Cea mai importanta lectie care trebuie invatata este aceea ca asigurarea conformarii trebuie sa aiba ca scop foarte clar protejarea persoanele fizice – nu se rezuma la formalitati, proceduri si documente, este un efort de echipa – ca responsabilitatea apartine fiecarui membru al organizatiei si ca protectia datelor trebuie sa devina cat mai curand o parte importanta a culturii organizationale a fiecarui operator. Si ca de obicei, seriozitatea cu care este tratata protectia datelor personale in organizatie este egala cu tonul, mesajul, pe care il da top managementul”.
Din punctul de vedere al Roxanei Mitroi, avocat in cadrul bpv GRIGORESCU STEFANICA, “probabil ca una dintre cele mai importante lectii pe care jucatorii in domeniu au aflat-o a fost aceea ca fiecare caz in parte are specificul sau si trebuie tratat cu atentie sporita. Este cert faptul ca documente cu aplicabilitate generala nu pot cuprinde aspectele specifice fiecarui domeniu in parte si nu pot acorda o protectie sporita business-ului, de aceea mereu se recomanda o analiza particulara asupra activitatii fiecarei companii in parte, cartografierea fluxurilor de date si a proceselor, identificarea gap-urilor existente, ca abia apoi sa se recurga la redactarea politicilor si documentelor necesare si la implementarea efectiva a acestora. In orice caz, recomandarea noastra mereu a fost aceea de a trata in mod individual si distinct activitatile de prelucrare si de a analiza de la caz la caz gradul de conformare a fiecarei entitati implicate in proces”.
Marius Dumitrescu, specialist GDPR, constata ca, “in ultimele luni, de cand a fost recunoscuta oficial pandemia Covid -19, s-a vorbit despre GDPR mai mult decat in toata perioada de cand a intrat in vigoare Regulamentul UE 679/2016 si este trist ca a fost nevoie de acest Coronavirus ca sa-i acordam atentia pe care o merita.
Societatea in care traim s-a schimbat, fiind supusa la unul din cele mai dificile teste de stres. Frica este cea care a obligat societatea noastra sa se adapteze si sa se maturizeze fortat, facand, in primul rand, un salt mare catre digitalizare. Vorbim astazi mai mult ca niciodata despre tele-munca, tele-medicina, tele-educatie si, mai ales, despre stirile false.
Trebuie sa realizam si ca toata aceasta digitalizare, pe repede inainte, vine la pachet cu asumarea unor riscuri de care mi-as dori sa fim constienti inca de la inceput.
Nu cred ca suntem pregatiti inca sa imbratisam digitalizarea si sa ne folosim la maxim de beneficiile acesteia. In urma recomandarilor autoritatilor din Romania, mai multe companii au decis sa accepte, de pe o zi pe alta, ca angajatii sa lucreze de acasa. Din punct de vedere legal eram pregatiti, legislatia romana avea prevederi clare privind tele-munca si cele mai multe firme au semnat acum cu fiecare angajat doar un act aditional la contractul de munca, pentru a indeplini aceasta formalitate birocratica. Foarte putine firme au investit in securizarea echipamentelor si a cailor de comunicare, alegand deseori solutiile cele mai rapide si ieftine, utilizand de cele mai multe ori echipamentele proprii ale angajatilor.
Revenind la domeniul protectiei datelor, chiar daca DPO-ul este captiv intre obligatiile legale impuse de legile organice, care pot limita drepturile persoanelor si principiile si obligatiile GDPR, exista, in opinia mea, o reteta pentru a asigura un echilibru intre toate aceste reglementari:
- Implicarea DPO-ului. El este specialistul care astazi poate sa consilieze si sa ghideze organizatia in respectarea GDPR si pastrarea acestui echilibru cu obligatiile legale si interesele comerciale.
- Respectarea celor sapte principii fundamentale ale GDPR. Aceste principii trebuie sa devina o realitate, trebuie sa fie implementate in orice fel de procedura, ca niste filtre care trebuie aplicate inainte de a lansa orice tip de document, orice fel de procedura.
- Informarea persoanelor vizate. Este foarte usor sa investim in aceasta informare prealabila si sa obtinem, practic, o implicare si motivarea acestor persoane, pentru ca, in fond, toate aceste proceduri restrictive sunt in interesul lor, al protectiei datelor lor cu caracter personal.
- Instruirea persoanelor si obtinerea de garantii adecvate. Trebuie sa fim foarte atenti atunci cand datele angajatilor nostri, sau datele clientilor nostri, datele vizitatorilor nostri sunt prelucrate de catre imputernicitii nostri ca operatori si sa ne asiguram ca sunt implementate masuri tehnice si organizatorice de protectie si securitate a acestor date personale pe tot procesul de prelucrare.
- Evaluarea nivelului de prelucrare a datelor (de exemplu, daca este excesiv) si identificarea unor metode mai putin intruzive de prelucrare a datelor personale, fara a creste birocratia. Sa nu uitam ca DPO-ul este cel care poate evalua daca discutam de un nivel excesiv de prelucrare a datelor, trebuie sa incercam sa limitam inscrisurile, astfel incat sa nu crestem birocratia doar de dragul de a ne acoperi cu documente justificative privind respectarea acestei legi. Respectarea tuturor celorlalte principii GDPR s-ar face mult mai usor daca principiul minimizarii ar fi respectat intocmai si pun accent mai ales pe acest lucru, deoarece noi, romanii, companiile romanesti, institutiile statului am ridicat birocratia aproape la nivel de traditie. Nu tot ce e mult e si bun, un singur document bine intocmit si cu responsabilitate ma protejeaza la fel de bine ca zece documente pline de date personale nefolositoare, dar colectate pe sistemul <<sa fie>>.”
Marius Dumitrescu concluzioneaza ca aceasta reteta nu se aplica exclusiv in aceasta perioada de pandemie, cele cinci recomandari fiind aplicabile oricarei organizatii care isi propune in urmatorul an sa isi adapteze cultura organizationala si sa imbratiseze principiile GDPR.