Curtea de Justiție a hotărât: amprentarea angajatilor contravine GDPR-ului

Editorial

Vizualizari: 3976

Facebooktwittergoogle_plusredditpinterestlinkedinmail

Decizia Curții de Justiție din Amsterdam din 12 august 2019 pune pe jar mulți dintre angajatori. Control accesul angajatilor sau sistemele de autorizare care utilizează cititoare biometrice sunt, în cele mai multe cazuri, ilegale, conform considerentelor Curții de Justiție din Amsterdam.

Angajatorii nu poat forța personalul să-și ofere datele biometrice (amprenta)

Un angajat al lanțului de magazine de încălțăminte Manfield Schoenen BV, împreună cu compania, au solicitat instanței lămurirea unei situații ce implică prelucrarea de date biometrice, pe care angajatul a refuzat-o, considerând că îi încalcă dreptul la confidentialitate.

Manfield are case de marcat în magazinele sale care funcționează pe baza unei scanări a amprentelor. Angajații magazinului de încălțăminte pot deschide casa de marcat numai dacă se autentifică prin scanarea amprentei.

Retailerul a susținut că sistemul de scanare a amprentelor este necesar pentru a proteja interesele companiei prin securizarea sistemul de înregistrare a caselor împotriva accesării frauduloase externe sau chiar a propriilor angajați. Anterior, Manfield a folosit un sistem de înregistrare a caselor în care personalul a trebuit să se conecteze cu un cod, dar acesta nu a fost suficient pentru a bloca accesarea frauduloasă a caselor de marcat.

Judecătorul a considerat că aceste argumente sunt insuficiente pentru a se justifica acest tip de prelucrare de date personale, opinând că o soluție mai puțin intruzivă ar fi fost utilizarea unui sistem cu autentificare prin 2 factori, un cod numeric și o cartelă (permis de acces).

Instanța subliniază că echilibrul de putere dintre angajat și angajator poate duce la situația în care personalul nu își dă consimțământul în întregime în mod voluntar

Concluzia Curții de Justiție din Amsterdam, în cazul analizat, a fost că angajații nu pot fi constrânși să-și ofere amprenta pentru a avea acces la sistemele companiei.

Exista totuși situații în care datele biometrice ale angajatilor pot fi prelucrate pentru controlul accesului acestora

Curtea a subliniat că, în unele cazuri, este permis pentru o companie să proceseze amprentele angajaților, dar utilizarea acestora trebuie să fie necesară și proporțională.

Decizia de implementare a unui sistem de control acces sau pentru asigurarea securității trebuie luată numai în urma efectuării unei evaluări a impactului asupra protecției datelor cu caracter personal.

Conform Curții, un astfel de sistem s-ar justifica în cazuri în care accesul este foarte restricționat, ca de exemplu o centrală nucleară. Un alt exemplu de activitate unde un astfel de sistem s-ar justifica este securizarea sistemelor de informații care conțin ele însele o mulțime de date cu caracter personal și unde trebuie împiedicat accesul neautorizat sau limitarea accesului angajatilor.

Cu alte cuvinte, dacă prelucrați cantități mari de date, un sistem de control acces prin amprentare ar putea fi utilizat pentru a securiza și limita accesul la camera serverelor.

Vrei să implementezi un sistem de control acces biometric?

Cristina Călin (Mătasă), Data protection specialist @ DPOConsulting, ne-a explicat care sunt pașii pe care trebuie să îi urmăm atunci analizam oportunitatea instalarii unui sistem de control acces biometric, pe care îi detaliem în continuare.

În primul rand trebuie să conștientizăm că sistemele de pontaj, control acces sau autorizare care utilizează cititoare ale amprentelor digitala reprezinta o monitorizare de date biometrice.

Conform art. 3 al Legii nr. 190/2018 privind măsuri de punere în aplicare a Regulamentului (UE) 2016/679, prelucrarea datelor biometrice „este permisă cu consimțământul explicit al persoanei vizate sau dacă prelucrarea este efectuată în temeiul unor dispoziții legale exprese, cu instituirea unor măsuri corespunzătoare pentru protejarea drepturilor, libertăților și intereselor legitime ale persoanei vizate”.

În același timp, având în vedere dezechilibrul de putere în relația angajat-angajator, se recomandă evitarea prelucrării datelor angajatilor în baza consimtamantului, astfel că singura situație în care putem considera prelucrarea amprentelor angajaților este atunci cand prelucrarea este efectuată în temeiul unor dispoziții legale exprese.

Am putea fi tentați să ne prevalăm de Art. 119 din Codul Muncii (evidenta timpului de munca) pentru a justifica legalitatea prelucrării, însă, așa cum am văzut și în Decizia Curții de Justiție din Amsterdam, acest lucru nu este posibil atâta timp cât există alte soluții mai puțin intruzive în viața privată a angajaților, cum ar fi cartele de acces eventual coroborate cu un cod PIN.

Există câteva cazuri similare și în jurisprudența națională, pe vechea lege ce-i drept, însă nu ar trebui sa le ignorăm în special prin prisma faptului că GDPR-ul a reglementat în mod expres datele biometrice, incluzându-le în categoriile de date cu caracter special limitând drastic condițiile în care aceste date pot fi prelucrate, ceea ce nu se întâmpla și în  legislația precedenta (legea 677/2001). Cu alte cuvinte, dacă prelucrarea datelor biometrice în vederea realizarii control accesului angajaților excedea limitele legilației aplicabile anterioare GDPR-ului, cu sigurantă acea prelucrare si-a păstrat caracterul ilicit și în prezent.

Astfel, în 2015 Primăria municipiului Timişoara a fost sancționată pentru prelucrarea excesivă a datelor  biometrice faţă de scopul prelucrării (pontarea timpului de lucru al angajaţilor), în condiţiile în care puteau fi utilizate şi alte mijloace pentru atingerea acestui scop, mai puţin intruzive. Decizia autorității a fost confirmată și de instanțele judecătoreşti în sensul că „prelucrarea datelor personale (amprente) angajaților nu se poate realiza decât pe baza unei analize temeinice privind necesitatea şi proporţionalitatea unor astfel de măsuri, iar angajatorul trebuie să identifice soluţii alternative care să aibă un impact mai redus asupra vieţii private a salariaţilor”.

În acest caz, autoritatea a citat și jurisprudenţa Curţii Europene a Drepturilor Omului referitoare la art. 8 din Convenţia pentru apărarea drepturilor omului şi libertăţilor fundamentale (dreptul la respectarea vieții private și de familie) instanța europeană a statuat faptul că protecţia oferită de acest articol ar fi diminuată în mod inacceptabil dacă folosirea de tehnici ştiinţifice moderne ar fi permisă cu orice preţ şi fără realizarea unui echilibru între beneficiile folosirii extensive a acestor tehnici şi interesele importante legate de viaţa privată (Cauza S. şi M. Marper contra Regatului Unit).

Mai mult, în urma mai multor investigații pe această temă, autoritatea a emis un comunicat prin care atragea atenția că „generalizarea utilizării amprentei în scopul efectuării pontajului și instalarea de camere de supraveghere video în birourile angajaților pot creşte riscul încălcării drepturilor şi libertăţilor persoanei vizate în raport de interesul operatorului care ar putea fi lezat, astfel că o asemenea prelucrare este excesivă raportată la scopul propus”.

Dacă ne aflăm în situația unor dispoziții legale exprese, sunt cativa pași esențiali de urmat

  1. Primul pas: analiza interesului legitim (LIA)

Recomand analiză a interesului legitim să ia în considerare cel puțin următoarele răspunsuri:

TESTUL DE NECESITATE (întrebare/răspuns)

  • Această prelucrare ne ajută la atingerea scopului (interesului angajatorului)?
  • Este aceasta o metodă rezonabilă pentru a atinge interesul?
  • Există o metodă mai puțin intruzivă pentru a atinge acest rezultat?
  • Care este natura relației cu persoana vizată?
  • Datele colectate sunt sensibile sau private?
  • Persoanele vizate se așteaptă, în mod rezonabil, să le fie permis accesul în spații în acest mod?
  • Există posibilitatea ca persoanele vizate (angajații) să se opună sau să considere prelucrarea intruzivă și să nu-și exprime consimțământul?
  • Ce consecințe (juridice, economice, contractuale) ar putea să aibă neacordarea consimțământului?

TESTUL DE ANALIZĂ A INTERESULUI LEGITIM  (întrebare/răspuns)

  • Cine beneficiază de pe urma prelucrării? În ce manieră? Care sunt beneficiile ambelor părți?
  • Există interese legislative cu privire la prelucrare?
  • Cât de importante sunt aceste beneficii?
  • Care ar fi impactul dacă nu am face această prelucrare?
  • Datele colectate sunt folosite într-o manieră etică și legală?

Menționez că singurul template pentru analiza interesului legitim a fost redactat de ICO (autoritatea de supraveghere a Marii Britanii). Conform ICO, acest șablon pentru evaluarea intereselor legitime (LIA) a fost conceput pentru a vă ajuta să decideți dacă este posibil să se aplice sau nu baza de interese legitime pentru prelucrările tale. Poți descărca acest template de pe dpo-NET.ro > Resurse utile > Modele Formulare sau click aici.

Dacă simțiți că template-ul celor de la ICO nu răspunde necesităților voastre, puteți studia Opinia Grupul de lucru pentru protecția datelor instituit în temeiul articolului 29 (WP29) privind noțiunea de interes legitim, adoptată în 2014 dar care încă poate fi extrem de utilă.

  1. Al doilea pas: efectuarea unei evaluări a impactului asupra prelucrărilor (DPIA)

Evaluarea impactului asupra protecţiei datelor (vezi art. 35 din GDPR), este necesară ori de câte ori prelucrarea este susceptibilă de a genera un risc ridicat pentru drepturile și libertățile persoanelor fizice, în special atunci când vorbim de implementarea unor tehnologii noi.

Mai mult, potrivit Deciziei nr. 174/31 octombrie 2018 a ANSPDCP – efectuarea unei analize de impact este obligatorie, printre altele, în cazul prelucrării datelor biometrice pentru identificarea unică a persoanelor.

Resurse utile pentru realizarea unei DPIA:

Recomand ca atunci când rezultatele evaluării impactului nu sunt concludente sau convingătoare, să cereți opinia Autorității naționale de supraveghere pentru a fi siguri ca ați luat toate măsurile adecvate pentru protejarea drepturilor, libertăților și intereselor legitime ale angajaților.

  1. Al treilea pas: informarea angajaților

Angajații ale căror amprente le prelucrați trebuie informați în mod adecvat cu privire la operațiunea de prelucrare (cel puțin conform art. 13 din Regulament). Este esențial pentru îndeplinirea acestei condiții ca informarea să fie efectuată în scris de către angajații iau la cunoștință prin semnătură expresă. Este absolut necesar ca aceasta prelucrare să fie detaliata in regulamentul de ordine interioara sau în contractul colectiv de munca, prin instituirea de reguli concrete pentru fiecare tip de activitate vizată (fiecare departament, secție, etc) dar și prin prezentarea măsurilor corespunzătoare pentru protejarea drepturilor, libertăților și intereselor legitime ale angajaților vizați.

Înainte de a lua în calcul beneficiile trebuie să conștientizăm riscurile

Sistemele care permit angajatorilor să controleze cine poate intra în sediile lor și/sau în anumite zone din sediile lor, cu toate că sunt folosite pe scară din ce în ce mai largă datorită dezvoltării tehnologice, a beneficiilor angajatilor si a costurilor tot mai accesibile însă acestea vin la pachet cu riscuri asupra drepturilor și libertăților angajaților.

De curand publicația germană spiegel.de anunța că milioane de informații sensibile, inclusiv informații personale detaliate ale angajaților corporatiști, nume de utilizator, parole necriptate și date biometrice au fost disponibile online în urma unei scurgeri masive de date pe platforma Biostar 2, aparținând companiei coreene Suprema, care gestioneaza accesul în zone special securizate ale cladirilor clienților săi..

„Efectele sunt destul de dramatice: sistemul de control acces al companiei este implementat în mii de locații, iar scurgerea de date a permis oricui să schimbe setările, să adauge noi utilizatori sau să restricționeze accesul la anumite zone”, a explicat expertul în securitate cibernetică, Noam Rotem, pentru spiegel.de.

Astfel observăm că riscurile nu trebuie privite doar din punctul de vedere al persoanelor vizate ci și al operatorilor, care se expun astfel unor riscuri care, de multe ori, le-am putea considera a fi excesive, inutile.

Iți plac articolele dpo-NET.ro? Poți fi la curent cu toate aceste noutăți dacă ne urmărești zilnic pe paginile noastre de LinkedIn sau Facebook. 

NOU! Consultă Registrul Amenzilor GDPR pentru mai multe informații despre sancțiunile acordate în baza Regulamentului 2016/679


Acest articol este protejat de către dispoziţiile legale incidente și este interzisă copierea, reproducerea, recompilarea, modificarea, precum şi orice modalitate de exploatare a acestuia. Articolele publicate pe DPO-NET.RO pot fi preluate doar în limita a maxim 500 de caractere, fără a depăşi jumătate din totalul de caractere, şi cu citarea obligatorie a sursei, cu link activ. Orice abatere de la această regulă constituie o încălcare a Legii 8/1996 privind dreptul de autor. Dacă sunteţi interesaţi de preluarea ştirilor și articolelor publicate pe DPO-NET.RO, vă rugăm să ne contactati.

Minutul de năduf al unui DPO

Editorial

Vizualizari: 2128

Facebooktwittergoogle_plusredditpinterestlinkedinmail

Data Protection Officer (DPO) la nivel european ajunge să fie un Responsabil cu Protecția Datelor în România. Mi se întâmplă adesea să mă surprind antamată cu gândul în această idee când, în mod inevitabil, ajung să mă întreb obsesiv de ce, de unde această asimilare la noi a unui ofițer cu un responsabil. Cu siguranță și alți colegi DPO s-au confruntat cu asta.

Desigur, consider că încă de la început se exclude dificultatea unei traduceri conceptuale a acestui rol, mai ales datorită asemănării izbitoare dintre englezescul OFFICER și românescul OFIȚER. Așa că mă duc mai departe, la sensul semantic al cuvintelor intrate în analiză OFFICER/ OFIȚER versus RESPONSABIL. Și zic, că cel mai bine, hai să mă uit în DEX și, printre toate sensurile identificate, iată ce găsesc:

  • ofițer = angajat însărcinat, în anumite ocazii, cu paza și ordinea interioară
  • responsabil = persoană care poartă răspunderea unui lucru, a unui fapt; răspunzător / persoană care are o funcție de conducere sau o sarcină de răspundere, căreia i s-a încredințat o răspundere.

Cunoscând descrierea DPO, cuprinsă în GDPR la articolele dedicate acestuia (art. 37 – 39), respectiv faptul că acesta nu este subordonat nimănui și că se adresează managementului de vârf (cel mai înalt) al organizației, că nu poate fi sancționat și nici disponibilizat pentru modul și gradul de realizare a activității sale, găsesc a fi o discrepanță majoră între rolul DPO și denumirea de responsabil cu protecția datelor. Mai mult, prin prisma experienței acumulate în interacțiunea cu operatorii de date cu care lucrez, constat că această discrepanță generează, cu titlul de constantă,  o confuzie  importantă în percepția acestora, când vine vorba de poziționarea corectă în relație cu DPO.

Dacă e să perpetuăm denumirea de responsabil cu protecția datelor, conceptual, operatorul abordează o atitudine relaxată, fiind ferm convins că DPO este responsabil pentru implementarea GDPR în organizație și el deci nu prea-și mai asumă riscuri, un lucru de bun simț în lumina definiției responsabilului prezentată mai sus. Din perspectiva realității curente, însă, operatorul de date este singurul care este responsabil de implementarea cerințelor GDPR (art. 24 GDPR) și nicidecum DPO contractat intern sau extern - investit (conform COR242231) cu rolul de responsabil cu protecția datelor.

În altă ordine de idei, DPO-ul - fie el intern sau extern - e angajat într-o continuă pledoarie cu scopul de a-l face pe operatorul de date să conștientizeze că responsabilitatea prelucrărilor de date cu caracter personal îi aparține întru totul. Lucru destul de dificil, când practic îl inviți pe acesta să sfideze logica simplă și să-nțeleagă că:

Responsabilul (cu protecția datelor) nu este responsabil și că, mai mult, nu poate fi tras la răspundere pentru neconformitățile sau breșele de securitate a datelor cu caracter personal, din perspectiva GDPR.
DPO este acel gardian ce monitorizează, atenționează și consiliază operatorul pentru respectarea condițiilor de prelucrare impuse de Regulament, e puntea de legătură în cadrul acestui triunghi format de Operator - Persoana vizată - Autoritate. Nu DPO implementează efectiv GDPR, operatorul face asta.

M-am întrebat, și nu o dată, de ce DPO are acest statut și, profesând, iată că mi-a și venit răspunsul:

Operatorul de date este singurul în măsură să pună la dispoziție resursele umane și materiale necesare punerii în  aplicare a măsurilor tehnice și organizatorice identificate a fi necesare (desigur, în mod proporționat), în mediul intern și în relațiile cu terții având autoritatea/ calitatea organizațională de care e nevoie. Pentru că a asigura securitatea și conformitatea  prelucrării datelor cu caracter personal implică, fără excepție, investiție de bani și timp, resurse alocate de operator întotdeauna.

Ce ar fi de făcut? Păi bine, găsesc că avem 2 variante:

  1. Să corectăm traducerea nefericită din Responsabil cu protectia datelor în Ofițer cu protecția datelor, atât în traducerea Regulamentului 679/2016, dar și în Standardul ocupațional ce documentează această ocupație. Veți spune, probabil: bine, bine, dar ofițerul te duce cu gândul la un cadru militar. Adevărat, aș spune, în primă fază, dar mai apoi v-aș aminti că în România există și alt fel de ofițeri, cum este, spre exemplu, un ofițer de stare civilă. Cum putem face această schimbare? Desigur, prin conlucrarea concertată a tuturor factorilor implicați - Autoritate, legislativ, servicii suport, organizații non-guvernamentale care și-au asumat un rol în domeniul protecției datelor cu caracter personal, etc. Și, dacă tot reparăm titulatura DPO, să reparăm și codificarea dată Standardului, codificare ce atestă tot subordonare contradictorie prevederilor din GDPR.
  2. Cea de a doua variantă, cea mai comodă și cea mai accesibilă, dat fiind că este, în sine, non-acțiune, ar fi să trecem cu vederea și să continuăm așa cum s-a și început cu utilizarea titulaturii eronate de responsabil cu protecția datelor. Tentantă perspectivă, însă la fel de păguboasă, astfel încât ani buni de acum înainte DPO va duce o luptă suplimentară de căpătare a unei autorități pe care o are în mod implicit, dar care nu poate produce efectele menite din lipsa cooperării congruente și, mai mult, implicării operatorului în a consuma pași clari în direcția conformității GDPR și în a trata cu respect și asumare recomandările DPO.

De ce acum acest articol?

Pentru că tocmai ce am participat la treia ediție a DPO.Tools organizată de portalul dpo-net.ro și partenerii acestuia, ocazie cu care s-a afirmat că DPO este o prelungire a Autorității și, prin extrapolare, nu mi-aș putea imagina cum Autoritatea și-ar putea îndeplini rolul asumat subordonat fiind operatorului pe care îl investighează. Realizez, pe zi ce trece, tot mai mult că este crucială perceperea corectă a DPO-ului de către operator, mai ales, pentru a permite o conformare obiectivă a prelucrărilor de date cu caracter personal efectuate de operator, în contextul existent.

O alocare a titulaturii corecte de DPO acestei ocupații, congruentă cu rolul îndeplinit de DPO, consider că este una dintre măsurile de luat prioritar în călătoria pe care GDPR a început-o din 25.mai.2018 în România, facilitând obținerea de claritate în spiritul performanței în implementarea Regulamentului în România.

Iți plac articolele dpo-NET.ro? Poți fi la curent cu toate aceste noutăți dacă ne urmărești zilnic pe paginile noastre de LinkedIn sau Facebook. 

NOU! Consultă Registrul Amenzilor GDPR pentru mai multe informații despre sancțiunile acordate în baza Regulamentului 2016/679


Acest articol este protejat de către dispoziţiile legale incidente și este interzisă copierea, reproducerea, recompilarea, modificarea, precum şi orice modalitate de exploatare a acestuia. Articolele publicate pe DPO-NET.RO pot fi preluate doar în limita a maxim 500 de caractere, fără a depăşi jumătate din totalul de caractere, şi cu citarea obligatorie a sursei, cu link activ. Orice abatere de la această regulă constituie o încălcare a Legii 8/1996 privind dreptul de autor. Dacă sunteţi interesaţi de preluarea ştirilor și articolelor publicate pe DPO-NET.RO, vă rugăm să ne contactati.

Despre AUDIT în contextul GDPR

Editorial

Vizualizari: 3441

Facebooktwittergoogle_plusredditpinterestlinkedinmail

O scurtă definiție

AUDIT - Examinare profesională a unor informații cu scopul de a exprima o opinie responsabilă și independentă în raport cu un anumit standard.

În funcție de standard sau domeniul de aplicare se folosesc și alți termeni, cum ar fi: Evaluare, Examinare, Control, Expertiză, Inspecție, Verificare, Testare...

Deci, contrar opiniilor unor "experți", auditul NU este un "checklist" cu întrebări de genul "Nu-i așa că..." care trebuie bifat de către cei auditați.

Auditul este o unealtă indispensabilă unui DPO, pentru a evalua starea de conformare a organizației. Acesta este necesar atât la inceputul unui proces de conformare, periodic pentru a evalua starea de conformare dar și ca instrument pentru testarea eficacității măsurilor implementate, activitate specificată în GDPR, fără de care măsurile luate sunt aproape inutile.

În funcție de scopul, obiectul și standardul de referință al auditului, există mai multe metode de desfășurare a acestei activități. Protecția datelor cu caracter personal fiind un domeniu multidisciplinar, cu multe standarde, metodologii sau legi nationale aplicabile, în afara GDPR (COSO/COBIT, ISO 9001, ISO 27001, ISO 31000, CMMI, 3LoD, GRC, PMP, Legea 190/2018, Legea 333/2003, Legea 506/2004, Ord. 600...) și metodele, tehnicile și mijloacele de audit sunt multiple.

De asemenea, în general nu este eficient ca o singură funcțiune să auditeze toate domeniile și procesele. Pentru aceasta pot fi, de fapt ar trebui să fie, folosite și funcțiunile de control existente, acolo unde ele există și/sau raportările periodice către management.

Metode sau tehnici de audit

  • În mare tehnicile de audit sunt: Prin observație directă, Prin interviuri cu persoanele responsabile/ implicate, Prin analize sociologice ale părerii beneficiarilor, Prin analiza de documente sau livrabile, Prin monitorizarea directă a performanțelor unui proces.

Gradul de precizie al evaluării depinde atât de tehnica utilizată în audit, cât și de experiența auditorului în domeniul auditat, tehnologiile utilizate in prelucrarea datelor... În practică acestea sunt rareori folosite independent, de obicei utilizându-se mai multe tehnici diferite în cadrul aceleeași acțiuni, în vederea crețterii gradului de încredere în rezultatele auditului.

Din punct de vedere al tehnicilor folosite, observația directă și interviurile sunt cele mai dependente de experiența auditorului, analiza documentelor și livrabilelor fiind tehnici cu grad mai mare de încredere, dar dependente de alegerea/ eșantionarea cazurilor ce vor fi analizate, aceste tehnici neputând acoperi toate cazurile.

Monitorizarea directă a preformanțelor unui proces, necesită implementarea prealabilă a unor mecanisme de măsurare, pe cât posibil automatizate, definirea obiectivelor si a indicatorilor de performanță potriviți pentru a măsura eficacitatea și/sau eficiența proceselor monitorizate. De asemenea, este foarte importantă vizibilitatea rezultatelor, prin raportarea acestora în timp real către factorii de decizie.

Acestea sunt întotdeauna urmate de o analiză a informațiilor colectate, având ca rezultat o opinie despre gradul de conformare la standardele de referință, iar în cazul deviațiilor de la acestea, se vor formula recomandări în vederea conformării.

Selectarea tehnicilor de audit cele mai potrivite

În funcție de complexitatea organizației, a proceselor și sistemelor folosite, precum și a cunoștințelor și resurselor necesare se alege cea mai bună variantă posibilă. Important este ca fiecare domeniu, proces să fie auditat, intr-un fel sau altul, periodic.

Evident pe prioritizarea este importantă, domeniile cu risc mare, ca probabilitate de a fi afectate sau ca impact, fiind cele către care ar trebui alocată căt mai multă atenție.

Condițiile inițiale, cultura organizațională

  • Existența documentării structurii organizației, a responsabilităților departamentelor
  • Existența documentării prelucrărilor, a mijloacelor de prelucrare și a datelor prelucrate
  • Existența documentării controalelor existente relevante peentru GDPR
  • Documentarea și comunicarea criteriilor de referință ce vor fi utilizate în audit
  • Defnirea modului de colaborare cu alte funcțiuni implicate in activități de control și monitorizare

Criterii de selecție

  • Importanța procesului auditat (și sau riscul acestuita)
  • Scopul auditului
  • Aria de cuprindere și standardul de referință
  • Cultura organizațională
  • Resursele (umane și tehnologice) existente
  • Experiența auditorului în domeniul analizat
  • Existența unor monitorizări sau audituri specializate

Pași de urmat în cadrul unui audit

1.      Stabilirea scopului, a ariei de acoperire (departamente, procese, controale...)

2.      Stabilirea standardelor de referință și a criteriilor de evaluare a conformității

3.      Selectarea tehnicilor de audit pentru fiecare control

4.      Planificarea auditului

5.      Colectarea informațiilor

6.      Analiza informațiilor și formarea unei opinii profesionale, urmate de recomandări unde este cazul

7.      Validarea opiniei profesionale cu cei implicați

8.      Raportul de audit

9.      Monitorizarea aplicării recomandărilor

Bune practici (din experiența personală)

Primul criteriu al unui audit este asigurarea că există un proces urmat, ceea ce înseamnă un set de reguli generale urmat de toți cei implicați în proces. Faptul că prelucrarea se face diferit de către fiecare executant sau grupe de executanți, în funcție de experiența personală, denotă lipsa unui proces.

Scopul unui audit ar trebui să fie nu doar evaluarea documentării unui proces, ci în special modul efectiv de aplicare al procesului auditat. Modul în care se respectă documentarea sau modul în care se documentează activitatea sunt doar criterii secundare. De (prea) multe ori procesul efectiv de prelucrare este diferit de cel formal (oficial).

De avut în vedere că de obicei un audit este un proces incremental. În funcție de rezultatele obținute în prima rundă planificată este posibil să fie identificate noi nevoi de audit, poate cu noi tehnici, noi mijloace și noi obiective.

Inconsistențele între procesul fomal și prelucrările de fapt sau între rezultatele obținute la interviuri și evidențele , înregistrările sau monitorizările, raportările despre aceste procese sunt un semnal de alarmă și un indicator că auditul trebuie aprofundat.

Un alt aspect de avut în vedere este tratarea excepțiilor. În orice proces definit există excepții ce nu pot fi documentate (sau care nu merită efortul) dar modul de tratare a lor trebuie definit (de obicei acestea fiind în atribuțiile șefului). Merită analizată și frecvența aestor excepții, astfel încât acestea să nu devină reguli.

Un criteriu important în audit, în special pentru GDPR, este existența evidențelor. Lipsa de evidențe (înregistrări ale acțiunilor întreprinse) face imposibilă evaluarea obiectivă a prelucrărilor și demonstrarea acestora, cerință obligatorie conform GDPR. Cauza cea mai des întâlnită este neînregistrarea evenimentelor când au avut loc, cu intenția de a documenta mai tîrziu.... dacă se consideră necesar... și dacă se găsește timp.

În vederea creșterii eficienței și a gradului de încredere este necesară analiza anterioară a monitorizărilor deja existente, a rezultatelor altor forme de audit. Pentru domenii specializate din cadrul unei organizații ( de exemplu IT/ securitate) este o practică întâlnită și recomandabilă de a utiliza rezultatele unor audituri specializate, la care se poate adăuga doar analiza unor cerințe specifice (GDPR) care nu sunt adresate de către auditul specializat. De asemenea efectuarea de audituri împreună cu alte funcții implicate în monitorizarea proceselor aduce o valoare adaugată foarte mare.

Iți plac articolele dpo-NET.ro? Poți fi la curent cu toate aceste noutăți dacă ne urmărești zilnic pe paginile noastre de LinkedIn sau Facebook. 

NOU! Consultă Registrul Amenzilor GDPR pentru mai multe informații despre sancțiunile acordate în baza Regulamentului 2016/679


Acest articol este protejat de către dispoziţiile legale incidente și este interzisă copierea, reproducerea, recompilarea, modificarea, precum şi orice modalitate de exploatare a acestuia. Articolele publicate pe DPO-NET.RO pot fi preluate doar în limita a maxim 500 de caractere, fără a depăşi jumătate din totalul de caractere, şi cu citarea obligatorie a sursei, cu link activ. Orice abatere de la această regulă constituie o încălcare a Legii 8/1996 privind dreptul de autor. Dacă sunteţi interesaţi de preluarea ştirilor și articolelor publicate pe DPO-NET.RO, vă rugăm să ne contactati.

Ce planuri ți-ai făcut pentru 2020 în privința protecției datelor?

La începutul noului an mulți dintre noi ne facem planuri pentru a ne îndepărta de obiceiurile proaste sau pentru a finaliza proiecte începute în anul precedent. Dar câți […]

Anul 2019 văzut prin ochii unui GDPR-ist, 10 momente memorabile

Este sfarsit de an si fiind un moment de bilant nu pot sa nu ma gandesc la cat de multe lucruri am realizat pe plan profesional si mai […]

Conceptul de „operatori independenți” este sinonim cu fuga de responsabilitate

Portalul dpo-NET.ro – Data Protection Officers Network în parteneriat cu Wolters Kluwer România, NeoPrivacy România, Decalex și unCommon Sense Advisory a organizat in data de 11 Decembrie 2019, în Sala de cursuri Wolters Kluwer România din București, a doua ediție […]

Curtea de Justiție a UE nu a utilizat niciodată expresia de „operatori independenți” în sensul practicii din România

Repere privind dobândirea calității de „operator”, „împuternicit al operatorului”, „operatori asociați” și atribuirea vreunei alte calități a unei entități care prelucrează date cu caracter personal Sumar: Prezentul articol […]

A început Războiul de independență al operatorilor de date din România

Nu știu alții cum sunt dar eu când mă gândesc la operatorii de date cu caracter personal care își proclamă independența peste noapte mă apucă panica. Numai în […]

Legea care a permis partidelor să copieze listele suplimentare încalcă GDPR-ul!?

Legea nr. 190/2018 privind măsuri de punere în aplicare a Regulamentului (UE) 2016/679 (Regulamentului general privind protecţia datelor), în vigoare de la 31 iulie 2018, „riscă” să fie […]

ORIZONTUL SECURITATII CIBERNETICE

„If you spend more on coffee than on IT security, you will be hacked. What’s more, you deserve to be hacked” (Richard Clarke) Cunoașteți vreo persoană care a […]

5G este o nouă energie electrică și va fi factorul cheie al lumii inteligente

WebSummit este evenimentul în care an de an giganții HiTech îsi prezintă inovațiile, prin care viața noastra ar trebui să devină mai simplă, mai confortabilă, mai sigură. Totodată […]

Operatorul GDPR în Epoca Internetului

Devine accesul liber la internet în era GDPR o problemă pentru operatori? Într-o proporție covârșitoare operatorii au pagini web de prezentare, contact sau  magazine online, pagini de Facebook, […]

Conformitatea GDPR se construiește cărămidă cu cărămidă

Ce presupune această schimbare din 25 mai 2018 și care este rolul ei? O întrebare cu o greutate, cu părere de rău pentru multe persoane este încă o […]

Principiile prelucrării datelor personale și rolul auditului preliminar

Celebrul GDPR este deja în aplicare de mai bine de un an de zile, suficient pentru ca fiecare antreprenor conectat on-line sau la diverse centre de afaceri să […]

15 recomandări GDPR pentru managerul de spital

“Mie nu mie se poate intampla, am băieți tineri și destepti la IT”  este argumentul unui manager de spital pentru a justifica lipsa de interes, resurse și timp […]

Când viața îți oferă lămâii, apelezi la GDPR

Un link postat de Cristiana Deca pe unul dintre conturile ei de social media m-a făcut să mă prăbușesc de râs, dar până să apuc să mă opresc […]

Societatea civila contestă legalitatea implementării tehnologiei de recunoaștere facială

Mai multe organizații nonguvernamentale au transmis autorităților o SCRISOARE DESCHISĂ prin care îți exprimă îngrijorarea cu privire la respectarea principiilor fundamentale ce țin de respectarea vieții private, prin punerea în […]

Cum ajunge o copie de buletin să coste 10.000 €? Încălcând GDPR-ul, desigur!

În data de 19 septembrie 2019, autoritatea de supraveghere belgiană a publicat un comunicat prin care a anunțat o sancțiune de 10.000 de euro pentru nerespectarea minimizării datelor […]

De ce românilor nu le pasă de viața lor privată ?

La începutul săptămânii trecute citeam despre implementarea unui sistem de recunoaștere facială care va folosi camerele de monitorizare video (CCTV), webcam-urile, telefoane mobile, rețele de socializare și camere […]

Românii vor fi monitorizați de un sistem de recunoașterea facială

Camerele de monitorizare video (CCTV), webcam-urile, telefoane mobile, rețele de socializare, camere ATM din România vor fi monitorizate de un sistem de recunoaștere facială. Controversele din jurul acestei tehnologii […]

Facebook riscă și îi fură job-ul lui Cupidon

Proaspătul lansat Facebook Dating ridică mai multe semne de întrebare privind confidențialitatea.  Cupidon a fost scos forțat la pensie când Facebook a anunțat ieri lansarea noului sau serviciu […]

Cine sunt campionii GDPR Summer Challenge 2019 ?

68 de participanți, grupati in 14 echipe, au luat startul in concursul GDPR Summer Challenge 2019 GDPR Summer Challenge este o competitie organizata de Dpo-NET.ro – Data Protection […]

Giovanni Buttarelli (1957-2019)

Giovanni Buttarelli, liderul Autorității Europene pentru Protecția Datelor (EDPS), a murit înconjurat de familia sa în Italia, la vârsta de 62 de ani. Înmormântarea va avea loc sâmbătă, […]