În data de 24 iunie 2020 Comisia Europeană a publicat Comunicarea privind protecția datelor ca pilon al abilitării cetățenilor și abordarea UE în tranziția digitală – doi ani de aplicare a Regulamentului General privind Protecția Datelor (RGPD).

Comunicarea Comisiei Europene este însoțită de un comunicat de presă privind raportul Comisiei și de un rezumat al principalelor constatări, redactat sub formă de întrebări și răspunsuri.

Věra Jourová, vicepreședinta pentru valori și transparență, a declarat: „Regimul european de protecție a datelor a devenit un punct de reper pentru a ne ghida în cadrul tranziției digitale centrate pe factorul uman și constituie un pilon important care stă la baza altor politici, cum ar fi strategia privind datele sau abordarea noastră referitoare la inteligența artificială. RGPD este exemplul perfect al modului în care Uniunea Europeană, bazată pe o abordare care pune accentul pe drepturile fundamentale, pune la dispoziția cetățenilor săi pârghiile necesare pentru a acționa și le oferă întreprinderilor oportunități de a valorifica pe deplin beneficiile revoluției digitale. Totuși, cu toții trebuie să depunem în continuare eforturi pentru ca RGPD să dea întreaga măsură a potențialului său.”

Didier Reynders, comisarul pentru justiție, a declarat: „RGPD și-a îndeplinit majoritatea obiectivelor și a devenit un punct de referință la nivel mondial pentru țările care doresc să le asigure cetățenilor lor un grad ridicat de protecție. Putem să obținem însă rezultate mai bune, așa cum arată raportul prezentat astăzi. De exemplu, avem nevoie de un grad sporit de uniformitate în ceea ce privește aplicarea normelor în Uniune, acesta fiind un element important pentru cetățeni și întreprinderi, în special pentru IMM-uri. De asemenea, trebuie să ne asigurăm că cetățenii pot să își exercite pe deplin drepturile. Comisia va monitoriza progresele, în strânsă cooperare cu Comitetul european pentru protecția datelor și în cadrul schimburilor sale regulate cu statele membre, astfel încât RGPD să își realizeze pe deplin potențialul.”

Așa cum se observă în conținutul Comunicării, una dintre concluzii este aceea că, după doi ani de aplicare, RGPD și-a îndeplinit majoritatea obiectivelor de a consolida protecția datelor cu caracter personal și de a garanta fluxurile de date cu caracter personal.

În ceea ce privește îmbunătările aduse de RGPD, se remarcă faptul că Regulamentul a consolidat transparența și a conferit persoanelor fizice drepturi opozabile, precum dreptul de acces, dreptul la rectificare, dreptul la ștergere, dreptul la opoziție și dreptul al portabilitatea datelor.

Cât privește autoritățile pentru protecția datelor, acestea joacă un rol esențial în asigurarea aplicării RGPD la nivel național și funcționării, în mod eficient, a mecanismelor de cooperare și consecvență din cadrul Comitetului European pentru Protecția Datelor, în special mecanismul ghișeului unic folosit pentru cazurile transfrontaliere. Astfel, Comisia a subliniat constant obligația statelor membre de a aloca suficiente resurse umane, financiare și tehnice autorităților naționale pentru protecție a datelor.

Totodată, RGPD oferă autorităților naționale pentru protecție a datelor competențe armonizate și consolidate. De la intrarea în aplicare a Regulamentului, autoritățile pentru protecția datelor utilizează o gamă largă o serie de puteri corective oferite de RGPD, precum amenzi administrative, avertizări și avertismente, dispoziții de a respecta cererile persoanei vizate, dispoziții de a asigura conformitatea operațiunilor de prelucrare cu prevederile Regulamentului, de a rectifica sau de a șterge datele sau de a rectricționa prelucrarea. RGPD prevede, de asemenea, o paletă mai largă de puteri corective. De exemplu, efectul unei interdicții asupra prelucrării sau suspendarea fluxurilor de date poate fi mult mai puternică decât o sancțiune financiară.

În același timp, autoritățile pentru protecția datelor au cooperat într-un mod foarte activ ca membri ai Comitetului European pentru Protecția Datelor, folosind, în mod intens, și instrumentul de cooperare de asistență reciprocă. În ceea ce privește mecanismul de coerența, EDPB a adoptat câteva opinii în acești doi ani. Referitor la gestionarea cazurilor transfrontaliere, s-a remarcat nevoia de un sistem mai eficient și de o abordare coezivă atunci când se utilizează instrumentele de cooperare prevăzute în RGPD. Principalele probleme care trebuie abordate în acest context includ: diferențele în legătură cu procedurile administrative naționale, interpretările variate ale conceptelor referitoare la mecanismul de cooperare, dar și abordările variate cu privire la începerea procedurii de cooperare, calendarul și comunicarea informațiilor.

De asemenea, Comisia precizează că RGPD a apărut ca punct de referință pentru multe țări din întreaga lume atunci când luând respectivele state și-au modernizat normele privind protecția datelor cu caracter personal (Chile, Coreea de Sud, Brazilia, Japonia, Kenya, India, Tunisia, Indonezia, Taiwan și statul California, pentru a numi doar câteva).

În același timp, se menționează faptul că RGPD oferă o serie de instrumente modernizate pentru a facilita transferul de date cu caracter personal din UE către un țară terță sau organizație internațională, asigurând în același timp că datele continuă să beneficieze de un nivel ridicat nivelul de protecție.

Obiectivul cheie în această etapă este de a susține o implementare și punere în aplicare armonizată și consecventă a RGPD în toată Uniunea Europeană. Acest lucru necesită un angajament puternic din partea tuturor actorilor:

• asigurarea faptului că legislația națională, inclusiv cele sectoriale, sunt pe deplin în conformitate cu RGPD;

• statele membre să aloce autorităților naționale pentru protecția datelor resursele umane, financiare și tehnice necesare pentru aplicarea corectă a normelor de protecție a datelor;

• autoritățile pentru protecția datelor să elaboreze proceduri de lucru eficiente cu privire la funcțioanrea mecanismelor de cooperare și coerență, inclusiv în ceea ce privește aspectele procedurale;

• folosirea instrumentelor prevăzute de RGPD pentru a facilita aplicarea regulilor, de exemplu prin coduri de conduită;

• monitorizează îndeaproape a aplicării RGPD în legătură cu noile tehnologii precum inteligența artificială, Internetul lucrurilor, blockchain.

Principalele constatări ale examinării RGPD de către Comisia Europeană

Cetățenii au la dispoziție mai multe pârghii și sunt conștienți de drepturile lor: RGPD consolidează transparența și le conferă persoanelor fizice drepturi opozabile, cum ar fi dreptul de
acces, de rectificare, de ștergere și de opoziție, precum și dreptul la portabilitatea datelor. Rezultatele unei anchete efectuate de Agenția pentru Drepturi Fundamentale a UE, publicate săptămâna trecută,
arată că, în prezent, 69 % din populația cu vârsta de peste 16 ani din UE a auzit despre RGPD și 71 % din cetățeni au auzit despre autoritatea națională pentru protecția datelor. Cu toate acestea, se pot
face mai multe pentru a-i ajuta pe cetățeni să își exercite drepturile, în special dreptul la portabilitatea datelor.

Normele privind protecția datelor sunt adaptate erei digitale: RGPD le-a oferit persoanelor fizice pârghiile necesare pentru a juca un rol mai activ cu privire la ceea ce se întâmplă cu datele
lor în tranziția digitală. RGPD contribuie, de asemenea, la promovarea inovării de încredere, în special printr-o abordare bazată pe riscuri și prin intermediul unor principii cum ar fi protecția datelor începând cu momentul conceperii și protecția datelor în mod implicit.

Autoritățile pentru protecția datelor recurg la competențele lor corective sporite: De la avertizări și mustrări la amenzi administrative, RGPD le oferă autorităților naționale pentru protecția datelor instrumente adecvate pentru a asigura respectarea normelor. Cu toate acestea, autoritățile menționate trebuie să aibă la dispoziție resursele umane, tehnice și financiare necesare. Multe state membre acționează în acest sens, prin majorări semnificative ale alocărilor bugetare și de personal. În ansamblu, în perioada 2016-2019, toate autoritățile naționale pentru protecția datelor din UE luate împreună au beneficiat de creșteri de personal de 42 % și de
majorări bugetare de 49 %. Există însă în continuare diferențe mari între statele membre. Autoritățile pentru protecția datelor colaborează în cadrul Comitetului european pentru protecția datelor (CEPD), dar se mai pot aduce îmbunătățiri: RGPD a instituit un sistem de guvernanță inovator, care este conceput astfel încât să asigure o aplicare consecventă și eficace a RGPD prin intermediul așa-numitului „ghișeu unic”, datorită căruia o întreprindere care prelucrează date la nivel transfrontalier are ca interlocutor doar o singură autoritate pentru protecția datelor, și anume autoritatea statului membru în care este situat sediul său principal. În perioada 25 mai 2018-31  decembrie 2019, prin intermediul ghișeului unic au fost transmise 141 de proiecte de decizii, 79 dintre acestea concretizându-se în decizii definitive. Cu toate acestea, se pot face mai multe pentru a dezvolta o cultură cu adevărat comună în materie de protecție a datelor. În special, gestionarea cazurilor transfrontaliere necesită o abordare mai eficientă și mai armonizată și o utilizare eficace a tuturor instrumentelor prevăzute în RGPD pentru a se asigura cooperarea autorităților pentru protecția datelor.

Recomandări și orientări emise de autoritățile pentru protecția datelor: CEPD emite orientări care acoperă aspecte-cheie ale regulamentului și teme de actualitate. Mai multe autorități
pentru protecția datelor au creat noi instrumente, inclusiv linii de asistență telefonică pentru persoane fizice și întreprinderi, precum și seturi de instrumente pentru întreprinderi mici și
microîntreprinderi. Este esențial să se asigure faptul că orientările furnizate la nivel național respectă pe deplin orientările adoptate de CEPD.

Valorificarea întregului potențial al transferurilor internaționale de date: În ultimii doi ani, angajamentul internațional al Comisiei referitor la transferurile libere de date, efectuate în condiții
de siguranță, a permis obținerea de rezultate importante, printre care se numără și decizia privind Japonia. În prezent, UE partajează cu Japonia cel mai mare spațiu din lume de liberă circulație a
datelor în condiții de siguranță. Alături de partenerii săi din întreaga lume, Comisia își va continua activitatea privind caracterul adecvat al nivelului de protecție a datelor. În plus, și în cooperare cu
CEPD, Comisia analizează posibilitatea de a moderniza alte mecanisme pentru transferurile de date, printre acestea numărându-se și clauzele contractuale standard, care sunt instrumentul de
transfer de date cel mai frecvent utilizat. CEPD lucrează la elaborarea unor orientări specifice privind utilizarea certificării și a codurilor de conduită pentru transferul de date în afara UE,
orientări care trebuie finalizate cât mai rapid posibil. Întrucât este posibil ca, printr-o hotărâre pe care o va pronunța la 16 iulie, Curtea de Justiție a Uniunii Europene să ofere clarificări relevante
pentru anumite elemente ale standardului privind caracterul adecvat al nivelului de protecție a datelor, Comisia va prezenta, după pronunțarea hotărârii menționate, un raport separat referitor la
deciziile existente privind acest subiect.

Promovarea cooperării internaționale: În ultimii doi ani, Comisia a intensificat dialogul la nivel bilateral, regional și multilateral, promovând o cultură mondială a respectării vieții private și a
convergenței între diferitele sisteme de protecție a vieții private în beneficiul atât al cetățenilor, cât și al întreprinderilor. Comisia este hotărâtă să continue această activitate ca parte a acțiunii sale
externe mai ample, de exemplu, în contextul Parteneriatului Africa-UE și al sprijinului pe care îl acordă inițiativelor internaționale, cum ar fi „Data Free Flow with Trust”. În contextul în care
încălcările normelor privind protecția vieții private pot afecta simultan un număr mare de persoane fizice în mai multe părți ale lumii, este momentul să se intensifice cooperarea internațională între
autoritățile responsabile cu asigurarea respectării normelor privind protecția datelor. Din acest motiv, Comisia va solicita Consiliului să autorizeze deschiderea de negocieri în vederea încheierii de
acorduri de asistență reciprocă și de cooperare în materie de asigurare a respectării legii cu țările terțe relevante.

În ceea ce privește activitatea la nivel internațional, Comisia va continua să își concentreze eforturile pe promovarea convergența regulilor de protecție a datelor ca modalitate de a asigura fluxuri internaționale de date realizate în siguranță.

Autoritatea Națională de Supraveghere a demarat o investigație în urma primirii unor plângeri prin care s-a reclamat faptul că operatorul Qualitance QBS SA a transmis prin e-mail o informare către 295 de persoane, dezvăluind astfel adresele de e-mail ale celorlalți destinatari și a  constat că operatorul nu a implementat suficiente măsuri de securitate pentru a asigura confidențialitatea datelor personale ale persoanelor vizate, fapt ce a condus la dezvăluirea adreselor de e-mail, contrar obligațiilor prevăzute de art. 32 din RGPD. Destinatarii emailului erau candidați care și-au furnizat datele personale în vederea recrutării pe site-ul operatorului sau prin aplicații on-line.

Operatorul Qualitance QBS SA a fost sancționat contravențional cu amendă în cuantum de 4.867,50 lei (echivalentul a 1.000 EURO). De asemenea, societății Qualitance QBS SA i s-a aplicat și măsura corectivă de a asigura conformitatea operațiunilor de prelucrare a datelor personale cu Regulamentul General privind Protecția Datelor, prin implementarea unor măsuri tehnice și organizatorice adecvate în cazul transmiterii la distanță a datelor personale, inclusiv sub aspectul instruirii regulate a persoanelor care prelucrează date sub autoritatea sa (angajați sau colaboratori).

Cum s-ar fi putut evita această amendă de 1000 Euro?

Simplu, prin trainingul personalului privind utilizarea funcțiilor "TO"(Către), "CC"(Copie de informare) și "BCC" (Copie de informare confidențială).

• “CC:” este precurtarea de la "Carbon Copy" (copie de informare). Orice persoană listată în câmpul CC: al unui mesaj primeşte o copie a mesajului, la expedierea acestuia. Toţi ceilalţi destinatari ai mesajului pot vedea că persoana specificată ca destinatar în “CC:” a primit o copie a mesajului.
• “BCC:" este prescurtarea de la "Blind Carbon Copy" (copie de informare confidenţială). Este similar cu funcţionalitatea “CC:”, cu excepţia că destinatarii din Bcc: sunt invizibili pentru ceilalţi destinatari ai mesajului, inclusiv pentru restul destinatarilor din “Bcc:”.

Procesul de digitalizare atrage după el și metode tehnice avansate de securitate, care cresc gradul de protecție al vieții private, dar trebuie să conștientizăm în primul rând că cea mai mare vulnerabilitate în cadrul unei organizații este chiar resursa umană. Este nevoie să asigurăm educația personalului înainte de a investi în soluții tehnice de securitate.

Această amendă este un semnal de alarmă și ar trebui să ne pună pe gânduri, să analizăm dacă și noi am făcut în trecut această eroare, și, cel mai important, ce putem face în perioada următoare să diminuăm semnificativ riscul de a repeta această greșeală.

O nouă amendă pentru colaborarea insuficientă cu Autoritatea de Supraveghere  tocmai a fost aplicată în România.  Operatorul C&V Water Control S.A. a primit o amendă în cuantum de 9746 lei, echivalentul sumei de 2000 EURO pentru că nu a furnizat informațiile solicitate, încălcând astfel prevederile art. 83 alin. (5) lit. e) corelate cu dispozițiile art. 58 alin. (1) lit. (a) și (e) și art. 58 alin. (2) lit. i) din Regulamentul General privind Protecția Datelor, primind totodată și măsura corectivă de a transmite toate informațiile solicitate prin adresele anterioare.

Nu este o premieră în România aplicarea de amenzi în baza Art. 58 GDPR care prevede obligația operatorului de a furniza orice informații pe care Autoritatea de Supraveghere le solicită în vederea îndeplinirii sarcinilor sale.

În trecut, în România au mai fost aplicate 7 astfel de amenzi, din totalul de 21 aplicate la nivel european, unor operatori de date cu caracter personal care omis să răspundă solicitarilor, încălcând astfel Art.58.

Cel mai îngrijorător lucru este faptul că aceste amenzi nu sunt disuasive și nu au condus la modificări fundamentale în practicile și procedurile operatorilor români, o parte din companiile anchetate preferând să își asume riscuri în privința încălcării art. 58 GDPR. Rămâne de văzut care este limita acestor operatori în privința absorbției amenzilor și dacă sunt afectați în vreun fel de riscul reputațional, în contextul în care nivelul de conștientizare a importanței datelor cu caracter personal în România este în creștere.