Data de 25 mai 2020 a marcat 2 ani de la implementarea regulamentului GDPR in Uniunea Europeana. Au fost doi ani plini de schimbari, atat pentru utilizatori, cat si pentru companii, dar, mai ales, pentru specialistii in protectia datelor. Cu această ocazie, colegii noștri de la SYPHER au realizat acest articol colaj in patru parti, care prezinta 2 ani de GDPR din perspectiva mai multor profesionisti in domeniul protectiei datelor.

Cum ati caracteriza, pe scurt, cei doi ani care au trecut de la implementarea GDPR in Uniunea Europeana?

Pentru Bogdan Manolea, au fost “doi ani destul de complicati. Pe de o parte, cei care au crezut ca dupa 25 mai 2018 se va sfarsi lumea si va incepe o noua era in protectia datelor personale, pot fi dezamagiti de un sistem greoi, unde de la teorie la practica e cale lunga, iar partea de aplicare arata limitele autoritilor (umane, financiare, de cunostiinte tehnice), dar si al neplanificarii (aplicarea pare mai degraba haotica si selectiva, decat un proces riguros si logic). Pe cealalta parte, cei care au crezut ca dupa 25 mai 2018 nu se va intampla absolut nimic, pot sa se simta si ei dezamagiti.  Amenzi se dau, ba chiar si la cei mici si chiar la persoane fizice. Autoritatile par a fi mai decise sa aplice textele legislative decat inainte, iar subiectul protectiei datelor personale este mult mai vizibil.”

Din punctul sau de vedere, cel mai important castig al industriei a fost ca “Toata lumea din zona de business digital stie de GDPR”.

In opinia lui Serban Popa, consultant GDPR la Unity Solutions, “Principalele caracterisitici dupa intrarea in vigoare a noului regulament au fost lipsa de intelegere, mai ales de partea responsabililor din entitatile ce opereaza cu date cu caracter personal, varietatea si ambiguitatea diverselor solutii de conformare la noul regulament puse la dispozitie de o multime de specialisti, mare majoritate fara expertiza si experienta. Au urmat luni de evenimente ce au produs mici miscari de trupe in anumite domenii; au inceput mai ales in firmele serioase si mari sa se desfasoare procese de analiza complexe”.

Totodata, Serban Popa mentioneaza ca, dupa mai bine de un an, cand au inceput si avertismentele si amenzile din partea autoritatii, “lumea/operatorii au inceput sa inteleaga ca avem o noua entitate de reglementare similara cu cea din domeniul concurentei. Au aparut o serie importanta de clarificari la nivel de EDPB si, mai ales, din partea DPA-urilor vestice cu traditie”.

Pentru Raluca Puscas, avocat asociat la Filip & Company,“Cel mai vizibil efect este cresterea gradului de constientizare, atat la nivelul organizatiilor, dar si la nivelul cetatenilor, asupra aspectelor legate de protectia datelor. GDPR apare in discutie din ce in ce mai des atunci cand sunt abordate subiecte din diverse zone, incepand cu securitatea datelor pe internet, mesaje si campanii de marketing, comert online si, mai recent, in context de telemunca sau al masurilor luate in cadrul starii de urgenta / alerta”.

Ea puncteaza un un alt aspect extrem de important si anume, faptul ca, este vorba despre un proces continu. Raluca Puscas remarca, de asemenea, “ca a crescut preocuparea pentru asigurarea securitatii datelor, prevenirea pierderii datelor si incorporarea cerintelor de privacy in ariile de activitate sau a produsele noi pe care companiile doresc sa le dezvolte”.

Stefan Iancu, consultant GDPR in cadrul companiei iPrivacy, afirma ca legislatia referitoare la GDPR “a determinat acordarea unei atentii sporite protectiei datelor cu caracter personal atat in Europa, cat si in afara ei. Tot mai multe state sunt interesate in implementarea de legislatii similare. Desi majoritatea operatorilor nu au fost atat de pregatiti pe cat era de asteptat, aspect demonstrat si de amenzile aplicate in Europa (peste 270), majoritatea operatorilor continua in mod proactiv eforturile de conformare”.

Din punctul sau de vedere, “Numarul de amenzi aplicate este relativ mic prin comparatie cu numarul sesizarilor, iar cuantumul acestora tinde sa fie mai aproape de minimul prevazut de Regulament, daca le raportam la cifra de afaceri. De exemplu, chiar si cea mai mare amenda, ca valoare nominala, aplicata British Airways, 204,600,000 EUR, reprezinta 1,5%din cifra de afaceri a operatorului”.

Roxana Mitroi, avocat in cadrul bpv GRIGORESCU STEFANICA, observa “o tendinta tot mai mare de constientizare a protectiei ce trebuie oferita datelor cu caracter personal. Acest aspect se remarca la nivelul tuturor organizatiilor, avand in vedere ca prevederile regulamentului se aplica tuturor companiilor, fie ca vorbim de organizatii internationale, fie ca vorbim de organizatii autohtone. Este adevarat, ca in mod cert, unele industrii sunt mai expuse decat altele, in special prin prisma volumului mare de date personale ce sunt prelucrate sau chiar al complexitatii operatiunilor de prelucrare efectuate”.

Un alt aspect important semnalat de Roxana Mitroi  este ca, „principalii jucatori au inteles ca prevederile GDPR nu pot fi ocolite prin formule contractuale care sa aloce raspunderea catre terti, catre persoanele vizate sau chiar sa le inlature raspunderea. Astfel, pentru ca s-au lovit de o constientizare rapida a impactului puternic pe care il poate avea pierderea, stergerea, sustragerea sau chiar un incident de securitate asupra datelor cu caracter personal, pentru unii operatori de date, calatoria spre conformarea cu prevederile GDPR a inceput din timp, dinainte de implementarea prevederilor GDPR la nivelul legislatiilor nationale. De asemenea, dupa doi ani de la aplicabilitatea prevederilor GDPR la nivel national, in acest domeniu se observa un ritm de munca sustinut. Acest ritm de munca continuu vizeaza inclusiv momente ulterioare finalizarii implementarii, datorita fluxurilor si proceselor de prelucrari ce pot suferi diferite modificari in timp.  De asemenea, pot interveni si procese noi de prelucrari a datelor, fapt ce poate duce la noi provocari cu privire la analizarea gradului de conformare cu prevederile GDPR”.

In opinia lui Marius Dumitrescu, specialist GDPR, “GDPR-ul nu este o revolutie, este o evolutie!”. El remarca faptul ca, “In Romania, GDPR-ul a intrat brusc in vietile noastre, acum doi ani de zile, printr-un bombardament al consimtamintelor, lansat de operatori din dorinta de a intra rapid in legalitate. Din pacate, si astazi mai exista operatori care folosesc consimtamantul ca temei legal pentru prelucrarea datelor privind sanatatea persoanelor vizate si deduc, astfel, ca DPO-ul nu si-a castigat inca locul pe care il merita in organizatie si recomandarile lui inca nu sunt ascultate”.

El mai semnaleaza faptul ca “In ultimii doi ani, strategia de vanzari a multor firme de consultanta s-a bazat pe crearea panicii, folosind marketingul inselator care accentua, in primul rand, dimensiunea astronomica a amenzilor, in loc sa promoveze nevoia de instruire a personalului. Platim si astazi campaniile de marketing de acum doi ani care vindeau complianta formala fara a include serviciile de specialitate ale unui DPO”.

Marta Popa, Senior Partner la Voicu si Filipescu SCA, mentioneaza ca: “Regulamentul GDPR a fost <<problema anului 2000>> in domeniul protectiei datelor, nu doar in Europa, ci in intreaga lume. Organizatiile s-au straduit sa se conformeze, de teama consecintelor. Dar limbajul GDPR este foarte sofisticat, uneori vag, astfel incat, procesul de conformitate a fost marcat de incertitudini pentru multe organizatii, publice sau private. Ne asteptam sa apara si alte reglementari in domeniul protectiei datelor, inclusiv in zona de E-Privacy si vom vedea o crestere a impactului si a aplicarii legislatiei, inclusiv in ceea ce  priveste amenzile. Ne putem astepta ca si Brexit-ul sa impacteze unele companii din punct de vedere GDPR. Alte motive de ingrijorare se refera la recomandari in procesarea datelor legate de sanatate in contextul pandemiei de COVID-19 sau inteligenta artificiala (AI).

Marta Popa concluzioneaza: “Cei doi ani de GDPR au adus, cu siguranta, multe beneficii companiilor. In primul rand, GDPR a dus la o mai buna gestionare a datelor si a managementului datelor. In al doilea rand, protectia datelor a fost adusa in atentia managementului superior, ceea ce este o consecinta pozitiva. Si, in al treilea rand, companiile care au investit in conformitate beneficiaza de o crestere a gradului de incredere din partea clientilor si a partenerilor de afaceri”.

Specialistii in protectia datelor au fost cei care au lucrat alaturi de organizatii in procesul de obtinere si mentinere a conformitatii GDPR. Am vrut sa stim care a fost, in opinia lor, cea mai mare provocare cu care s-au confruntat companiile in acesti doi ani.

In opinia lui Bogdan Manolea, legal expert, cea mai mare provocare a fost: “Sa inteleaga ceea ce trebuie sa faca. Efectiv, de maine. Companiile se asteapta sa primeasca un checklist clar si definitiv, impreuna cu un pret ferm, pe care sa-l plateasca o data si gata. Dar raspunsul depinde atat de mult de practicile efective de prelucrare a datelor, care sunt diferite de la companie la companie si de masurile de securitate corelative, incat eu gandesc ca ar fi neprofesional sa zici ca stii ce trebuie sa faca de la prima intalnire. Pentru ca, de fapt, nu stii si o sa-ti dai seama pe parcurs”.

La capitolul provocari, Serban Popa, consultant GDPR la Unity Solutions, mentioneaza: “Micsoarea importantei efortului de analiza si consultanta, a cartografierii proceselor interne cu toate elementele descriptive aferente.”

Raluca Puscas, avocat asociat la Filip & Company, afirma: “Intr-adevar, ne gandim in primul rand la obtinerea conformitatii cu cerintele GDPR, care presupune o serie intreaga de activitati, de la maparea datelor, analize de risc, evaluari ale impactului asupra protectiei datelor, implementarea de politici si documente, dar apoi si la mentinerea acesteia, care este un proces continuu. De multe ori, toate acestea presupun schimbarea modului de lucru in organizatie si definirea unor noi fluxuri de colaborare intre departamente, implicand si responsabilul pentru protectia datelor. Chiar si dupa ce toate politicile, procedurile si evaluarile vor fi facute si toate documentele vor fi in ordine, ramane provocarea de a incorpora cerintele de privacy in cultura organizatiei si anume, de a acorda atentie protectiei datelor clientilor, angajatilor si tuturor persoanelor ale caror date le prelucreaza.

Acest lucru presupune atat lucruri aparent simple, cum ar fi acela de a nu solicita semnarea unui consimtamant in cazul in care nu este de fapt necesar (in ideea ca poate e mai sigur asa), ori de a pastra diverse acte in baza de date (ca poate mai trebuie vreodata, desi perioada de stocare a expirat) si pana la lucrurile mai complexe care pot presupune investitii din partea companiei, cum ar fi stergerea datelor la momentele de expirare a perioadelor de detinere prevazute in registru”.

Pentru Stefan Iancu, consultant GDPR in cadrul companiei iPrivacy, “Sunt trei variabile care influenteaza major succesul programelor de conformare, si anume: desemnarea responsabilului cu protectia datelor cu respectarea cerintelor din Regulament (expertiza, independenta, evitarea conflictelor de interese, asigurarea implicarii DPO in timp util in toate aspectele privind protectia datelor, acces la cel mai inalt nivel, etc), evaluarea corecta a impactului si riscurilor asociate precum si alocarea corecta a resurselor necesare”.

Roxana Mitroi, avocat in cadrul bpv GRIGORESCU STEFANICA, semnaleaza ca: “Inclusiv angajatii companiilor ce au parcurs procesul conformitatii si implementarii prevederilor GDPR au fost nevoiti sa se puna la punct cu procedurile si legislatia in domeniu. In orice caz, fiecare organizatie este diferita si fiecare activitate a unei organizatii poate duce la prelucrarea unor tipuri diferite de date. In vederea aplicarii in mod corect a prevederilor GDPR, apreciem ca una din provocarile companiilor este monitorizarea continua si permanenta a conformitatii sale. Luand in considerare eforturile interne si externe depuse pentru a ajunge la un grad de conformare, necesitatea monitorizarii si actualizarii periodice a proceselor de prelucrare, a registrului de activitati de prelucrare, preintampinarea unor brese de securitate, dezvoltarea si utilizarea software-urilor de tipul inteligentelor artificiale, suntem de parere ca activitatea in domeniul privacy & data protection va continua atat la nivelul intern al companiilor, cat si la nivel extern, prin angajarea diferitelor tipuri de consultanti in domeniu”.

Roxana Mitroi mai adauga ca: „In acest sens, se remarca un interes accentuat al companiilor ce se manifesta sub forma implicarii mai multor categorii de actori in acest proiect de aliniere si compliance, iar acest lucru este sustinut inclusiv de practica multor organizatii de a desemna la nivel intern persoane specializate responsabile de aspecte de tin de protectia datelor, desemnate la nivelul intregului grup, persoane ce colaboreaza cu avocati sau consultanti externi in acest domeniu”.

Marius Dumitrescu, specialist GDPR, afirma ca: „Angajatii reprezinta unul dintre cele mai mari riscuri in ceea ce priveste securitatea unei organizatii, conform studiului State of Cybersecurity 2019 realizat de ISACA. Din punctul meu de vedere, cea mai mare provocare a companiilor in procesul de obtinere si mentinere a conformitatii GDPR este carenta unei culturi a responsabilitatii, in randul angajatilor, privind protectia datelor personale. Acesta carenta poate fi diminuata substantial in urma instituirii unor programe de instruire cu privire la importanta protectiei datelor in concordanta cu practicile generale si politicile specifice activitatii companiei. Responsabilizarea angajatilor din perspectiva protectiei datelor personale va aduce un plus de valoare companiei. Un angajat constient si informat este un angajat vigilent si care actioneaza cu responsabilitate, riscurile unei erori umane scazand, in acelasi timp in care randamentul muncii creste. Mai mult, identificarea rapida a eventualelor brese de securitate si respectarea protocolului de raspuns la incidente va minimiza pierderile companiei”.

Specialistul concluzioneaza: “Raman un visator si sper ca in urmatoarea perioada sa vedem campanii de educare a persoanelor vizate din Romania, si de ce nu, campanii de educatie in scoli”.

Data de 25 mai 2020 a marcat 2 ani de la implementarea regulamentului GDPR in Uniunea Europeana. Au fost doi ani plini de schimbari, atat pentru utilizatori, cat si pentru companii, dar, mai ales, pentru specialistii in protectia datelor. Cu această ocazie, colegii noștri de la SYPHER au realizat acest articol colaj in patru parti, care prezinta 2 ani de GDPR din perspectiva mai multor profesionisti in domeniul protectiei datelor.

Cei doi ani de la implementarea GDPR au fost o perioada cu numeroase provocari, atat pentru companii, dar si pentru specialisti, in procesul de obtinere si mentinere a conformitatii GDPR. Am intrebat sase specialisti care a fost cea mai mare provocare cu care s-au confruntat profesionistii care activeaza in domeniul protectiei datelor.

Bogdan Manolea, legal expert, puncteaza trei provocari majore; pe scurt: “Sa existe. Sa invete. Sa aplice.”

Specialistul detaliaza apoi: “Cea mai mare provocare pentru societate a fost sa existe, pentru ca, inainte de 2018 erau destul de putini specialisti care sa poate sa se laude ca lucreaza efectiv pe domeniul protectiei datelor. A doua mare provocare a specialistilor a fost, pe de o parte sa primeasca o instruire adecvata, in conditiile primului punct, dar si sa gaseasca materiale educative sau de informare dincolo de cursul initial. Iar a treia a fost sa vada cum pot sa aplice ceea ce stiu in zona in care lucreaza. Si sa convinga managementul ca este nevoie de unele schimbari.”

Pentru Serban Popa, consultant GDPR la Unity Solutions, cea mai mare provocare a constituit-o “Constientizarea necesitatii adaptarii si conformarii proceselor si activitatiilor la noile cerinte, alaturi de faptul ca efortul se va regasi in increderea crescuta a clientilor si a partenerilor de afaceri.”

La capitolul provocari, Raluca Puscas, avocat asociat la Filip & Company, mentioneaza ca: “Integrarea cerintelor legate de protectia datelor in activitatea zilnica a companiilor a fost si ramane o provocare in sine, in sensul de constientizare in cadrul organizatiei si in privinta crearii unei <<obisnuinte”>> de a integra regulile GDPR in toate liniile de activitate si noile produse dezvoltate de operatorul economic”.

Raluca Puscas remarca faptul ca: “Dincolo de actiunile de implementare specifice, de multe ori specialistii in protectia datelor s-au confruntat cu provocarea de a-si defini rolul in cadrul organizatiei si de a convinge ca regulile stabilite de GDPR nu reprezinta o piedica in dezvoltarea afacerii, in implementarea de noi tehnologii sau lansarea de noi produse, ci pot fi identificate solutii adecvate, in conditiile unei prelucrari responsabile a datelor. Nu mai putin, adaptarea la mediul de afaceri in continua schimbare si raspunsul rapid in situatii de criza (cum este actuala situatie generata de COVID-19 sau, mai general, situatiile cand companiile se confrunta cu o incalcare a securitatii datelor) necesita reactii si raspunsuri prompte, inclusiv in zona de protectie a datelor, iar acest lucru necesita de asemenea o atentie continua si o buna pregatire de specialitate”, a mai adaugat specialistul.

Pentru Stefan Iancu, consultant GDPR in cadrul companiei iPrivacy, cele mai mari provocari au fost reprezentate de: “Comunicarea clara si asigurarea acceptarii de catre senior management a obiectivelor de conformare la Regulament, asigurarea alocarii resurselor necesare si a comunicarii in organizatie, la toate nivelele, pe de o parte si extinderea expertizei proprii, in aria de IT, Legal, Management al riscului, Audit, Training, pe de alta parte”.

In opinia Roxanei Mitroi, avocat in cadrul bpv GRIGORESCU STEFANICA, “Una dintre provocarile cu care cu siguranta multi specialisti ai domeniului s-au intalnit este legata de cartografierea in mod complet a datelor personale prelucrate, precum si a activitatilor de prelucrare, avand in vedere faptul ca fiecare activitate de prelucrare trebuie identificata, stabilindu-se atat elementele de legitimitate ale acesteia, cat si identificarea scopurilor prelucrarii, a temeiurilor juridice, perioadelor de retentie adecvate, a tuturor entitatilor implicate in proces”.

Roxana Mitroi mentioneaza ca „Alte provocari in domeniu au fost date chiar de aspectele sensibile pentru care au fost solicitate opiniile juristilor. Astfel, anumite zone precum marketingul, profilarea, monitorizarea comportamentului prin noile tehnologii sunt unele dintre putine cazuri cand spiritul de inovatie, dar si pragmatismul juridic au iesit la iveala. In acest context, un aspect important este identificarea echilibrului intre nevoile business-ului de a-si continua activitatea si gradul de conformare cu prevederile GDPR. Mai mult, o alta provocare aparuta in decursul acestor ani a plecat de la lipsa unor proceduri minime de protectie a datelor si de asigurare a securitatii acestora, precum si de la lipsa de pregatire a personalului intern al organizatiilor privind modul in care datele personale sunt prelucrate.  In acest sens, avocatii firmei noastre au inceput proiectele de conformitate cu prevederile GDPR prin niste sesiuni de training organizate la nivelul organizatiilor pe care le asistam, pentru ca angajatii acestora sa cunoasca prevederile si procedurile ce vor dicta modul in care trebuie sa actioneze in legatura cu activitatile de prelucrare a datelor pe care le desfasoara”.

Pentru Marius Dumitrescu, specialist GDPR, „Persoana fizica in sine a ramas cea mai mare provocare pentru intreg domeniul protectiei datelor din Romania, deoarece, prin lipsa de cultura, intreg corpul profesional se confrunta cu solicitari nejustificate si insuficient documentate privind stergeri selective sau rectificari neintemeiate a informatiilor inregistrate in documente. Cu siguranta, aceste solicitari nu vor fi solutionate in favoarea persoanei vizate, existand mai multe reglementari specifice in ceea ce priveste termenul de retentie si posibilitatile de acces restrictionat si conditionat”.

Totodata, in opinia specialistului, “Gardianul modului in care se respecta confidentialitatea si mecanismele de protectie a datelor cu caracter personal ramane in continuare Responsabilul cu protectia datelor cu caracter personal (DPO), aceasta meserie nou aparuta, care se confrunta probabil cu cele mai mari provocari profesionale datorita caracterului general al Regulamentului (UE) 2016/679 si lipsei unor repere unitare privind interpretarea si implementarea lui. Poate si denumirea postului, care induce ideea responsabilitatii concentrate pe umerii unei singure persoane, a ingreunat ascensiunea si recunoasterea profesionala, multi DPO facand educatie managementului in momentul semnarii contractelor de consultanta”.