Daniel Suciu: A fost nevoie de două amenzi pentru a readuce GDPR-ul în vizorul operatorilor

Amenzi GDPR

Vizualizari: 1798

Facebooktwittergoogle_plusredditpinterestlinkedinmail

În cei peste 30 de ani de activitate profesională, Daniel Suciu s-a implicat activ în aproape toate ariile de interes pentru Protecția datelor. A avut curiozitatea și oportunitatea de a vedea problemele și soluțiile din aproape toate perspectivele, începând cu IT-ul, ca programator, administrator, tester, analist, PM, manager, auditor dar și din perspectivă financiară, HR sau relații cu clienții, managementul contractelor sau a proceselor, vânzări, audit, risk management, marketing sau juridic. A avut norocul să lucreze în multe proiecte crosfuncționale și să invețe de la specialiști din mai multe domenii, la toate nivelurile. În ciuda multor standarde sau metodologii studiate și aplicate, a încercat mereu să extragă principii și bune practici care să poată fi utilizate efectiv in toate mediile, atât cele formale cât și cele informale.

A trecut un an de la intrarea în vigoare a GDPR-ului. Ce s-a schimbat în decursul acestui an?

D.S.: În bine? Nu prea multe. Pentru cititorii în alte limbi au apărut foarte multe materiale utile, ghiduri, instrumente, clarificări... De asemenea au mai dispărut de pe piață o parte a vânzătorilor de conformitate care oricum nu aveau prea multe în comun cu domeniul, dar au văzut o oportunitate. Au apărut sau s-au maturizat în timp organizații private  - cum este si DPO.NET (și nu o spun din politețe) care contribuie, direct sau indirect, la conștientizarea si instruirea publicului si a operatorilor.

In rău, mult mai multe, pentru că până acuma s-au adeverit atitudinea celor ce spuneau că e doar o modă și o să treacă. Din păcate așa pare și chiar avântul celor inițial implicați in conformare a scăzut, în multe cazuri nici măcar nu s-au obosit să schimbe abordările inițiale, chiar dacă între timp s-au lămurit că nu erau cele mai bune, sau măcar legale. Alte priorități au luat locul GDPR-ului. Probabil o să se reia ciclul odată cu apariția amenzilor sau a proceselor intentate de către cei afectați.

În România, până în acest moment, s-au dat două amenzi pentru nerespectarea GDPR deși autoritatea condus aproape 1.000 de investigații, adoptând o atitudine orientată spre prevenție și dispunerea de măsuri corective. Considerați că amenzile au un rol important în aplicarea GDPR-ului? Din experienta dvs practică, cei mai mult operatori se conformează cu GDPR-ul din responsabilitate sau de frica amenzilor?

D.S.: Amenzile sunt, sau ar trebui să fie, doar un instrument de descurajare a practicilor ilegale, nu numai de pedepsire. De aceea peste tot în lume, indiferent de domeniu, acolo unde s-a obținut un grad mare de respectare a legislației, există pedepse care se aplică în mod consecvent. Contează foarte mult și cui vor fi aplicate amenzile și pentru ce motive, pentru a putea obține un efect de descurajare a comportamentelor ilegale.

Despre motivele reale ale conformării la GDPR, ce pot fi doar intuite de cei din domeniu, eu aș pune pe primul loc presiunea din partea acționarilor sau a partenerilor, mai ales pentru operatorii ce aparțin unor entități străine, care este generată de frica unor consecințe – amenzi sau procese care pot duce la afectarea imaginii. La modul real, cele mai multe companii nu-și propun de fapt conformarea la GDPR, ci doar acoperirea cu hărtii, fără a schimba prea mult din procesele existente. Asta e valabil și la marii operatori, unde majoritatea schimbărilor în relația cu consumatorii au constat în mai multe hîrtii, cererea consimțămîntului pentru orice, dar fără o schimbare a formularelor pline de date colectate excesiv. La fel în relațiile între companii, s-au adăugat clauze la contract, obligatoriu unul fiind operator iar altul împuternicit, fără a verifica cîtuși de puțin dacă aceștia chiar respectă legea. Practic, în cel puțin 90% din cazuri eu cred că schimbările au fost mai mult de formă, fără a adresa fondul problemei. Cred ca acest lucru va fi adresat în urmatorii ani, ca urmare a problemelor ivite și a constatării inutilității schimbărilor de formă.

Evident că există si excepții (cum ar fi clienții mei sau ai voștri J) care au înțeles necesitatea adresării problemelor de fond sau a oportunităților oferite de GDPR.

Ce înseamă mai exact primă amendă GDPR în Romania acordată Bancii Unicredit ? Ce sfaturi le dați operatorilor care doresc să evite să facă obiectul unei anchete și eventual a unei amenzi din partea autorității?

D.S.: Un prim pas în direcția potrivită, în special pentru motivele acestei amenzi, adresând probleme de fond ce ar trebui sau ar fi trebuit implementate. Pentru toți operatorii, indiferent de stadiul confomării, le-aș transmite că nu este prea târziu pentru a începe tratarea problemelor de fond. Mai bine mai târziu decât prea tarziu! Oricum varianta de a le ignora în continuare va fi sigur una pierzătoare.  Pentru a-și minimiza riscurile unei amenzi, eu i-aș sfătui să trateze cu mare atenție toate solicitările sau observațiile venite din partea persoanelor vizate, fie ei clienți, angajați, colaboratori. Să nu neglijăm aspectul că problemele pentru care a fost amendat operatorul în cauză sunt comune foarte multor operatori, dar investigațiile autorității au pornit de la o reclamație.

In decurs de doar cateva zile a fost anuntata si a doua amenda GDPR in Romania, acordata unui operator din turism pentru implementarea deficitara a masurilor tehnice si organizatorice. Ce ar trebui sa invatam din acest studiu de caz ? Din experienta relatiei cu proprii clienti, cat de mult accent pune un operator pe aceste masuri ?

D.S.: Cred ca mesajul transmis de către autoritate este unul cât se poate de simplu: operatorii ar trebui să se focalizeze pe identificarea riscurilor asupra securitatii datelor prelucrate și implementarea de masuri efective pentru a elimina sau minimiza aceste riscuri, prin modificarea proceselor operaționale în acest sens. Cred ca începe sa fie vizibilă și necesitatea unei abordări multidisciplinare, necesitatea implicării funcțiilor operaționale în procesul de conformare.

Scopul GDPR-ului nu este de a da amenzi ci de a proteja persoanele. Cu toate acestea, după 3 ani de la intrarea în vigoare a Regulamentului doar 67% dintre Europeni au auzit de GDPR, în timp ce doar 36% au declarat că știu ce este acest regulament (date prezentate de Comisia Europeana în sondajul Eurobarometru). Credeți ca aceste cifre sunt rezultatul dezinteresului persoanelor în ceea ce privește de protejarea datelor lor?

D.S.: Nu cred că este dezinteres. Cred că procentul este unul incurajator în conjunctura actuală, având in vedere că este „doar” una din multitudinea de legi Europene și naționale, iar numărul persoanelor afectate personal de incidente din acest domeniu nu este prea mare... nu încă.  De fapt, cred ca procentele sunt chiar exagerate, cel puțin procentul de 36% care „cunosc” legea.

Care credeți ca vor fi consecințele acestei lipse de conștientizări a importantei datelor în rândul persoanelor, pe termen lung?

D.S.: Din păcate, lipsa de cunoștințe minime în acest domeniu o să-i găsească nepregătiți în utilizarea în siguranță a internetului în general, vor accepta mai ușor comportamente iresponsabile ale operatorilor – considerîndu-le „normale”, nu vor putea să-și protejeze informațiile sensibile sau copiii de pericolele activităților online și vor învăța doar din greșeli, unele potențial costisitoare.

Este esențial ca persoanele să identifice prelucrările ilegale de date pentru a-și putea exercita drepturile. Cât este de important sa-ți cunoști drepturile atâta timp cât nu poți identifica o prelucrare ilegală? Pe ce ar trebui să se axeze campaniile de informare a persoanelor?

D.S.:Eu cred că informarea populației ar trebui axată pe aspecte concrete, întâlnite in viața de zi cu zi, cu exemple clare de „așa DA” și „așa NU”. Insistarea pe aspectele teoretice, eventual cu citarea legii, nu-și vor atinge scopul. Un rol major cred că l-ar avea și exemplele de pedepsire a celor ce încalcă flagrant legislația, pentru ca altfel se va accentua ideea existentă că oricum nu va fi nimeni pedepsit dacă le încalcă.

Cine credeți ca ar trebui să se implice mai mult în diseminarea importantei datelor personale? Instituțiile publice, Autoritățile naționale de supraveghere sau ONG-urile din domeniul protecției datelor?

D.S.: Nu cred ca este relevant cine ar trebui, pentru că răspunsul e clar, definit atât în lege cât și în documentele ce definesc anumite organizații. Important este cine o va face și cred că rolul esențial îl vor avea ONG-urile, firmele private (în general cele mici, nu marile nume), precum și specialiștii independenți. În plus organismele Europene sau autoritățile din țările cu tradiție sau interes in acest domeniu sunt foarte utile, fiind o lege Europeană cu intenția declarată de a fi implementată uniform in cadrul țărilor din SEE. Chiar dacă există unele diferențe, rolul de conștientizare poate fi atins și cu ajutorul acestora.

Care credeți că ar fi cea mai scurta cale spre creșterea gradului de conștientizare și complianta GDPR: educarea persoanelor sau educarea operatorilor?

D.S.:: Pentru mine este evident ca ambele au rolul lor și cel mai eficiente ar fi împreună. Aș menționa aici necesitatea unei abordări diferențiate la nivelul operatorilor și a persoanelor împuternicite, și anume „traducerea” legii în recomandări concrete, punerea la dispoziția operatorilor de instrumente pentru a-și evalua conformitatea, riscurile generice sau specifice unor domenii (resurse umane, contabilitate, vanzari online...). Exemplul autorității din UK este unul ce ar putea fi copiat, chiar dacă nu este perfect. Pe site-ul ICO există materiale dedicate micilor întreprinzători, ghiduri si chestionare pe anumite teme, cum ar fi securitatea datelor.

Credeți că instituțiile publice ar trebui sa fie un exemplu pentru restul operatorilor? Punem această întrebare pentru că în Romania avem un tratament preferențial pentru instituțiile publice, amenda maxima pentru nerespectarea GDPR-ului fiind de 200.000 lei (aproximativ 42.000 euro), cu mult inferior față de ceea ce risca operatorii privați.

D.S.:: Doamne ferește!  Până site-ul guvernului nici măcar nu se sinchisește să ia la cunoștință că există GDPR, nemaivorbind de implementarea unor obligații minime, nu cred că ar trebui să vorbim de exemplul instituțiilor publice în privința GDPR. Dacă mai adaugăm și lipsa de personal calificat, sau numirea unor DPO cu salariul minim pe economie la instituții de stat cu mii de angajați (caz concret cunoscut de mine) nu cred ca această problemă se va rezolva curănd. Mai rău este să fie luate ca exemplu.

Cu toate că România înregistrează cel mai scăzut nivel de utilizare a serviciilor de internet dintre statele membre ale UE, 86 % dintre utilizatorii români de internet au conturi pe rețelele sociale, ceea ce ne face campionii Europei la acest capitol. Având în vedere scandalurile imense în care au fost implicate rețelele de socializare, fie prin breșele de securitate, fie prin utilizarea ilicită a datelor, putem considera că suntem și cei mai vulnerabili. Cum considerați ca ar trebui să se comporte un utilizator de internet, dacă ar fi conștienți de riscurile pe care internetul le ascunde?

D.S.: „Decât” responsabil. Nu cred că ar fi rezonabil să pretindem ca toți utilizatorii să respecte bunele practici in domeniu, și nici măcar să citească și să aplice măsurile de bază din domeniul securității informatice. Cred că cea mai bună și cea mai simplă măsură ar fi să limiteze cantitatea de date postate, sau măcar să o facă pentru cei direcți interesați. Citirea efectivă a avertismentelor și mesajelor de „consimțământ” ar fi utilă pentru conștientizare.

Restul de educare va veni cu timpul, din păcate majoritar în urma unor experiențe neplăcute. Cred ca și publicitatea în jurul breșelor de securitate are un rol pozitiv, de „sperietoare”, făcând publicul mai atent la aspectele securității informatice.

Accesul copiilor la internet este deja o normalitate. Ar trebui acest lucru sa ne îngrijoreze? Considerați că o educație privind privind accesul la internet al copiilor ar trebui sa fie o sarcina a părinților sau sistemul de învățământ ar trebui să-și asume acest rol?

D.S.: Din păcate acest aspect este unul mult prea puțin discutat și adresat, cel puțin la nivel național. Inclusiv materialele de conștientizare existente par să ocolească acest subiect. Faptul că mulți utilizatori nu-și protejează datele personale este trist, dar faptul că nu-și pot proteja copiii este mult mai grav și cu efect și pe termen lung. Din observațiile mele, de multe ori cei mai mici știu mai multe decât părinții lor despre pericolele activităților online, doar că acest lucru nu-i face neapărat să le și evite. Sistemul de învățământ ar trebui să se implice în mod evident, dar nu au nici cunoștințele și nici autoritatea in fața copiilor in acest domeniu. Cred că cea mai bună măsură ar fi obligarea producătorilor de software, în special jocuri si social media să contribuie mai mult la educarea copiilor. Rolul specialiștilor în domeniu, firme de consultanță, ONG-uri, specialiști independenți cred că poate fi un factor mai mult decăt util în acest demers.

Facebook a lansat Study, un program de cercetare de piață bazat pe recompense. Cum vi se pare un asemenea concept: să fim plătiți pentru datele pe care le facem publice? Este acesta direcție una corectă?

D.S.: Din perspectiva mea personală, cred că nu este cea mai bună metodă. Inclusiv pe plan personal eu unul nu cred în educarea prin recompense și pedepse. Mie îmi seamănă prea mult a dresaj, nu a educație. Recompensele, ca și pedepsele pot avea rolul lor în stimularea unui comportament dorit, dar doar ca măsură secundară, după educarea propriuzisă prin înțelegerea fenomenelor și a posibilelor repercursiuni.

Aspectul pozitiv al acțiunii este conștientizarea publicului că aceste date au o valoare, precum și a scopurilor în care pot fi utilizate.

Conform unui raport DLA Piper (GDPR data breach survey: February 2019), de la data aplicării GDPR-ului și pana în februarie 2019, Autoritatea de supraveghere din Olanda înregistrase 15,400 de notificări de breșe, în timp ce România număra la acea vreme doar 270. Care credeți că este motivul acestei discrepanțe? Suntem noi romanii un popor norocos și breșele de securitate ne evită, ori nu recunoaștem o breșă de securitate nici dacă ne împiedicăm de ea?

D.S.: Nu cred că problema noastră este lipsa de inteligență, implicit recunoașterea unei breșe de securitate, ci resposabilitatea. Întrebarea pe care și-o puni mulți factori responsabili din organizații este de ce ar raporta ei o breșă? Pentru a fi investigați de către autoritate? Si ce se întamplă daca nu se raportează? Se pare că nimic, deci de ce ar raporta? Adică ei sunt mai fraieri?  Ca specialist în domeniu este imposibil să nu vezi încălcări ale GDPR și chiar breșe de securitate la aproape orice interacțiune cu vreun operator de date, unele fragrante, inclusiv la marii operatori.

Un exemplu elocvent, întâlnit de mine în mod constant, și ușor de tratat, este modul de tratare a formularelor greșite ( inclusiv de către bănci, operatori telecom, furnizori de servicii, unități medicale...). Aproape în mod invariabil, acestea ajung la gunoi, eventual rupte în două ca „anonimizare”. Dacă întrebați de ce nu folosesc un „tocător” de documente o să vă răspundă cel mai probabil că vor folosi dacă cineva le va cumpăra unul.... Este un aspect minor, dar cred că este reprezentativ pentru „seriozitatea” cu care sunt tratate datele personale.

Identificarea riscurilor este unul din cei mai importanți pași spre complianta GDPR. Dar dacă noi nu resuim sa identificam nici breșele, cum am putea identifica riscurile?

D.S.: E mai simplu decât pare, chiar in lipsa unui proces formal de management al riscurilor, problemă întâlnită și la companiile cu sute sau mii de angajați. Cum anume? Citind care sunt amenințările generice pentru orice activitate sau cele specifice domeniului. Există foarte multe materiale gratuite în care acestea sunt evidențiate și chiar se oferă recomandări pentru adresarea lor.  Dacă s-ar rezolva măcar cele mai comune riscuri ar fi un mare pas inainte. Care sunt cele mai comune? Cred că utilizarea emailului personal în scopuri de business sau utilizarea unui email gratuit (Gmail, Yahoo,...) ar fi cap de listă. Utilizarea unor softuri licențiate si actualizate ar fi pasul următor. La nivel individual utilizarea unor parole adecvate sau mai bine a autentificarii prin doi factori ar fi de dorit, precum și utilizarea doar a rețelelor sigure de comunicare, evitarea retelelor publice wi-fi. La nivel de organizații, crearea unor copii de rezervă, o politică de acordare a drepturilor pe bază de nevoi și protejarea rețelei de calculatoare ar fi un minim de multe ori ignorat. Comunicarea cu partenerii de business sau furnizorii de servicii ar fi bine să nu fie facută pe email fără criptarea datelor. Nu e o lista completă, dar de multe ori cel puțin una dintre aceste reguli, dacă nu majoritatea, sunt complet ignorate. De conștientizarea și instruirea angajaților este inutil să menționez, pentru că deși este cea mai sigură metodă este și cea mai ignorată.

Iți plac articolele dpo-NET.ro? Poți fi la curent cu toate aceste noutăți dacă ne urmărești zilnic pe paginile noastre de LinkedIn sau Facebook. 

NOU! Consultă Registrul Amenzilor GDPR pentru mai multe informații despre sancțiunile acordate în baza Regulamentului 2016/679


Acest articol este protejat de către dispoziţiile legale incidente și este interzisă copierea, reproducerea, recompilarea, modificarea, precum şi orice modalitate de exploatare a acestuia. Articolele publicate pe DPO-NET.RO pot fi preluate doar în limita a maxim 500 de caractere, fără a depăşi jumătate din totalul de caractere, şi cu citarea obligatorie a sursei, cu link activ. Orice abatere de la această regulă constituie o încălcare a Legii 8/1996 privind dreptul de autor. Dacă sunteţi interesaţi de preluarea ştirilor și articolelor publicate pe DPO-NET.RO, vă rugăm să ne contactati.

Bulgaria: Cea mai mare amendă GDPR acordată unei autorități publice europene

Amenzi GDPR

Vizualizari: 1559

Facebooktwittergoogle_plusredditpinterestlinkedinmail

Cel mai mare furt de date din Balcani (așa cum l-am numit în  articolul din iulie) s-a lăsat și cu cea mai mare sancțiune financiară din zona balcanică, fiind totodată cea mai mare amendă primită de o autoritate publică din Uniunea Europeană, pentru neasigurarea protecției corespunzătoare a datelor personale.

Mai mult, aceasta este oficial cea de-a doua amendă ca valoare din UE, după intrarea în vigoare a GDPR-ului. Am folosit termenul „oficial” pentru că cele două amenzi de proporții astronomice pe care ICO le-a propus în urma analizelor breșelor de securitate suferite de Marriott International (110 milioane €) și British Airways (230 milioane €) se vor poziționa în fruntea clasamentului la nivelul Uniunii Europene odată ce ICO va lua o decizie finală asupra valorii sancțiunilor după consultarea celorlalte părți implicate în aceste anchete. 

Sancțiune de 5,1 milioane de leva (aproximativ 2,6 milioane de euro)

Autoritatea bulgară pentru protecția datelor cu caracter personal a publicat un comunicat prin care a anunțat sancțiunea de 5,1 milioane de leva (aproximativ 2,6 milioane de euro) acordată Agenției Naționale a Veniturilor (echivalentul ANAF-ului nostru) pentru încălcarea care a dus la furtul datelor cu caracter personal de aproximativ 4,1 milioane de persoane (contribuabili), un procent considerabil din totalul de 7 milioane de locuitori ai Bulgariei.

În comunicat se arată că amenda a fost acordată pentru încălcarea art. 32, 1 litera (b) din Regulamentul (UE) 2016/679, în vederea unei încălcări a datelor privind accesul neautorizat, divulgarea neautorizată și difuzarea datelor cu caracter personal ale persoanelor fizice din bazele de date a agenției. 

Pe langa amenda, autoritatea bulgară a impus o serie de măsuri ce vor trebui implementate de administrația fiscală bulgară în următoarele 6 luni:

  • îmbunătățirea protecției procesării datelor cu caracter personal în serviciile electronice oferite cetățenilor (aplicații);
  • efectuarea analizei de risc a sistemelor și operațiunilor de procesare, inclusiv a normelor și obligațiilor funcționale stabilite pentru prelucrarea fiecărui sistem informațional;
  • efectuarea evaluărilor de impact în cazul identificării „riscului ridicat” pentru fiecare sistem și a măsurilor corespunzătoare care trebuie luate;
  • efectuarea unei evaluări de impact la lansarea inițială a noilor sisteme de informații și aplicații.

Oficialii bulgari au declarat că instituțiile publice din Bulgaria nu cheltuiesc suficient pentru securitatea cibernetică. Unii experți care au examinat datele fiscale furate spun că tehnicile utilizate în atac au fost relativ de bază și au indicat lipsa unei protecții adecvate a datelor.

De ce ar trebui să ne îngrijoreze breșa de securitate din Bulgaria? 

Nu este un secret fragilitatea sistemului informatic al ANAF-ului nostru. Acesta a clacat de mai multe ori de-a lungul timpului făcând imposibilă accesarea "Spaţiul Privat Virtual" [SPV].

"În prezent, portalul ANAF generează erori de accesare, deoarece resursele TIC disponibile sunt suprasolicitate. Se identifică soluţii de utilizare optimă a tuturor resurselor." afișa pagina ANAF prin februarie 2019.

Un articol DIGI24 publicat anul trecut trăgea un semna de alarma asupra faptului ca sistemul IT al ANAF pică aproape zilnic, deoarece funcționează la o capacitate de 99,99%.  Curtea de Conturi a atras atunci atenția Guvernului că sistemul e foarte vechi și poate ceda în orice moment. Actualul sistem informatic al ANAF datează din 1998, când au fost cumpărate primele servere şi sisteme de stocare a informaţiei de la IBM, cel care a pus în funcţiune sistemul şi l-a întreţinut până în 2016. Din 2016, IBM a refuzat să mai asigure mentenanţa sistemului IT după ce ANAF ar fi folosit licențe fără să plătească. 

Nu avem sediu, nu avem mentenanță, nu avem upgradările făcute, avem litigiu cu IBM-ul, am blocat proiectul cu Banca Mondială”, declara la acel moment Gelu Diaconu, fost președinte al ANAF.

Judecând după toate acestea, oare cât de mare este riscul ca noi să călcăm pe urme vecinilor bulgari?  Noi nu ne întrebăm DACĂ ci mai degrabă ne întrebăm CÂND?!?

De ce autoritățile publice din România nu fac din protecția datelor o prioritate? Cât de reală este o astfel de amendă ?

Cele 2,6 milioane de euro cu care a fost sancționată  agenția bulgară pot părea o sancțiune mică raportată la dimensiunea și sensibilitatea datelor care au sustrase însă dacă ne raportăm la maximul amenzilor pe care autoritățile din România le riscă, acea amendă capătă proporții astronomice. Să nu uităm și că o amendă aplicată unei autorități nu aduce practic sume suplimentare la bugetul statului, fiind doar mutate sume dintr-un capitol bugetar în altul.  

Conform legislației românești, pentru încălcarea articolului 32 din GDPR, cum a fost cazul în Bulgaria, amenda prevăzută de legea 190 din 18 iulie 2018 este de 10.000 lei până la 100.000 lei (prima treaptă valorică). Practic a fost introdusă această derogare de la regimul juridic al contravenţiilor (OUG 2/2001) prin care autoritățile publice din România beneficiază de un tratament special, atât de special încât am putea să îl considerăm profund discriminatoriu. Mai exact, amenda maxima pe care o institutie publica din România o poate primi este de 200.000 lei, adică puțin peste 40.000 euro iar asta pentru încălcări a regulamentului pentru care o societate privată risca un maxim de 4% sau 20.000.000 euro. Asta da interpretare a principiului proporționalității.

Mai mult, în cazul unei breșe (asta doar dacă nu se poate ascunde existența acesteia) sancționată este instituția, care de altfel va marja pe ideea ca nu a avut buget pentru asigurarea securității datelor. Dar oare este normal să fie sancționată instituția atâta timp cât deciziile aparțin managementului instituției respective? Poate preluarea modelului din Republica Moldova ne-ar ajuta să rezolvăm această dilemă. Mai exact, în Republica Moldova responsabilitatea privind respectarea cerințelor de protecție a datelor aparține factorilor de decizie, acestia fiind direct sanctionabili. 

 

Iți plac articolele dpo-NET.ro? Poți fi la curent cu toate aceste noutăți dacă ne urmărești zilnic pe paginile noastre de LinkedIn sau Facebook. 

NOU! Consultă Registrul Amenzilor GDPR pentru mai multe informații despre sancțiunile acordate în baza Regulamentului 2016/679


Acest articol este protejat de către dispoziţiile legale incidente și este interzisă copierea, reproducerea, recompilarea, modificarea, precum şi orice modalitate de exploatare a acestuia. Articolele publicate pe DPO-NET.RO pot fi preluate doar în limita a maxim 500 de caractere, fără a depăşi jumătate din totalul de caractere, şi cu citarea obligatorie a sursei, cu link activ. Orice abatere de la această regulă constituie o încălcare a Legii 8/1996 privind dreptul de autor. Dacă sunteţi interesaţi de preluarea ştirilor și articolelor publicate pe DPO-NET.RO, vă rugăm să ne contactati.

Cine sunt campionii GDPR Summer Challenge 2019 ?

Amenzi GDPR

Vizualizari: 11011

Facebooktwittergoogle_plusredditpinterestlinkedinmail

68 de participanți, grupati in 14 echipe, au luat startul in concursul GDPR Summer Challenge 2019

GDPR Summer Challenge este o competitie organizata de Dpo-NET.ro - Data Protection Officers Network, adresandu-se tuturor persoanelor interesate de aprofundarea și testarea cunoștințelor în domeniul protecției datelor, printr-un exercițiu practic care a durat 5 zile. In perioada 12-16 August 2019, fiecare echipa a trebuit sa gestioneze peste 20 de situații și provocări în domeniul protectiei datelor, scopul fiind ca participanții să dobândească cât mai multă experiență practică din interacțiunea cu alți specialiști. Urmatoarea editie a acestei competitii se va numi "GDPR Winter Challenge" si se va desfasura in luna ianuarie 2020, inscrierile incepand cu 01.12.2019.

Geanina, una din concurentele acestei competitii declara: "M-am înscris la GDPR Summer Challenge din curiozitate, însă acum, la final, simt că m-a ajutat și învățat mai mult decât orice curs acreditat, pentru că nivelul la care s-a desfășurat competiția și provocările la care am fost supuși, nu au fost de un nivel elementar. Aș participa cu plăcere și la concursurile viitoare, nu doar datorită relațiilor pe care ți le formezi pe parcursul competiției, ci și pentru bagajul acumulat. În practică nu te poți întâlni cu toate tipurile de provocări din domeniul protecției datelor cu caracter personal și tocmai acesta este punctul foarte al GDPR Summer Challenge, din punctul meu de vedere, faptul că te determină să ieși din zona de confort și să cauți rezolvare unor probleme pe care nu le-ai mai întâlnit. În consecință, aș recomanda această competiție atât celor care abia încep să acumuleze experiență în acest domeniu, cât și celor cu suficienți ani de protecție a datelor cu caracter personal la activ."

Juriul, format de 12 specialisti in domeniul protectiei datelor, a avut sarcina dificila de a selecta echipa care va primi titlul de "GDPR Summer Challenge 2019 Champion", primele trei locuri in concurs fiind ocupate de echipele "DPO's Eleven", "FairPlay" si "Privacy Guardians".

Campionii acestei competitii au reusit sa obtina un total din 518 puncte din totalul de 600, din aceasta echipa facand parte Adriana Ceausescu (DPO in domeniul Asigurarilor si Sanatatii), Alexandra Vese (Inginer IT, Grafic designer), Elena Ilie (Specialist SEO / Social Media / Marketing Online), Ana Caval (DPO cu o expriență vastă în domeniul marketingului) si Cristian Gavrila (DPO si consilier juridic).  Urmeaza sa ii cunoasteti mai bine pe fiecare dintre acestia, in urmatoarele saptamani, pe parcurs ce vom publica interviuri cu fiecare dintre acestia.

Juriul impresionat de nivelul de cunostinte

"Mă bucur nespus să constat că există un nivel bun de pregătire al tuturor echipelor și se observă extrem de bine că cel mai probabil cu toții sunt practicieni, căci altfel nu ar fi reușit să se descurce atât de bine într-un mediu „destul de ostil” pentru o săptămână de consultanță. Am apreciat în special acele abordări care nu s-au rezumat la analize ci au propus și elaborat seturi de măsuri.Cred că astfel de consultanți pot face față provocărilor de variate feluri care apar în viața de zi cu zi pe linia prelucrării datelor cu caracter personal. Competiția a fost probabil unul dintre cele mai bune instrumente de formare și exersare a abilităților unui consultant sau ale unui responsabil cu protecția datelor." , a declarat Conf. Univ. Dr. Nicolae Ploeșteanu - Directorul Centrului pentru Protecția Datelor - Universitatea de Medicină, Farmacie, Științe și Tehnologie „George Emil Palade” din Târgu Mureș.

"Am observat o imbinare a limbajului juridic si tehnic la nivelul rapoartelor, este exact ce necesita rolul de DPO. Recomand cu caldura pastrarea unui nivel de detaliere ridicat dar in acelasi timp sublinierea elementelor importante ce stau la baza deciziilor sau masurilor recomandate. In acest fel, rapoartele devin usor de citit de catre managementul superior sau de catre orice persoana din afara sferei de interes.“, sustine Roland Costea - Expert tehnic și trainer cu experiență demonstrată în domeniul Cibersecurity/ Protecția, Securitatea și Confidențialitatea Datelor, lucrează în prezent pentru compania Microsoft în calitate de Șef de securitate, conformitate și Arhitect de confidențialitate pentru Europa Centrală și de Est.

"Am fost onorat de participarea acestui eveniment cu elemente de extraneitate, unde participanții atât pe filiera ofițerilor de protecție a datelor cât și a Autorității de supraveghere au conjugat eforturile pentru a urmări un singur obiectiv firesc – asigurarea dreptului la viața privată în legătură cu prelucrarea datelor cu caracter personal ca un drept inerent ființei umane.Așadar, am fost plăcut surprins de nivelul de pregătire al participanților, care în anumite spețe,dădeau dovadă de o examinare minuțioasă și practică a problemei, înaintând anumite recomandări și acțiuni care se dovedeau a fi relevante și absolut necesare. Consider că acest eveniment a contribuit esențial la îmbunătățirea percepției asupra domeniului protecției datelor cu caracter personal.", declara Sergiu Bozianu - Președinte al Asociației pentru Protecția Vieții Private, Fost Director Adjunct -  Direcția Generală de Supraveghere și Conformitate la Centrul Național pentru Protecția Datelor cu Caracter Personal al Republicii Moldova

"A fost fascinant sa vad cate perspective pot exista asupra unei singure probleme. Desi in Romania piata de privacy este inca la inceput, constat cu mandrie ca inceputul este unul bun. Consultatii participanti la concurs sunt pregatiti pentru a face face cerintelor pietei, cu toate astea nu trebuie sa uitam ca este nevoie sa ne pregatim continuu pentru a putea face fata provocarilor si schimbarilor cu impact asupra vietii private. Astept cu interes si editia de anul viitor." declara Cristiana Deca - IAPP Romanian KnowledgeNet Chair, Data Protection Specialist și Legal Advisor Decalex. 

Planuri de viitor pentru editiile urmatoare

La finalul acestui concurs, va fi publicat un volum intitulat "GDPR Challenge Personal Training Workbook" dedicat analizei acestor studii de caz, incluzând o sinteză a tuturor măsurilor întreprinse și exemple de documente transmise de „operatori” (echipele participante) către „Autoritatea de Supraveghere GDPR Summer Challenge (ASGSC)” si care va constitui o resursă valoroasă pentru dezvoltarea profesională a oricărui Responsabil cu protecția datelor.

Dorim sa multimim tuturor partenerilor care au sustinut aceasta prima editie si care au oferit premii fiecarui finalist: ASCPD - Asociatia Specialistilor in Confidentialitate si Protectia Datelor, Centrul pentru Protecția Datelor, Asociatia pentru Protectia Vietii Private - Republica Moldova, DefRadar - GDPR Academy, DigiSign, Editura Univers Juridic, Universuljuridic.ro, Juridice.ro, „Hodoș și Asociații”, „Hodoș Business Recovery”, Wolters Kluwer România, Optiplaza si OrtoProfil.

"Vreau sa va felicit pentru organizarea acestui concurs si pentru dezvoltarea site-ului dpo-NET.ro! Ati reusit sa scoateti din zona tabu Regulamentul General privind Protectia Datelor si sa cresteti consitentizarea acestui domeniu.Prin acest concurs demonstrati faptul ca exista un mare interes in zona protectiei datelor si am fost placut surprins de implicarea unui numar mare de specialisti in rezolvarea provocarilor zilnice. Felicitari concurentilor si mult succes in continuare!" este mesajul transmis participantilor de Alin Olteanu - Avocat partener al Casei de avocatura “Olteanu și Asociații” București

 

 

Iți plac articolele dpo-NET.ro? Poți fi la curent cu toate aceste noutăți dacă ne urmărești zilnic pe paginile noastre de LinkedIn sau Facebook. 

NOU! Consultă Registrul Amenzilor GDPR pentru mai multe informații despre sancțiunile acordate în baza Regulamentului 2016/679


Acest articol este protejat de către dispoziţiile legale incidente și este interzisă copierea, reproducerea, recompilarea, modificarea, precum şi orice modalitate de exploatare a acestuia. Articolele publicate pe DPO-NET.RO pot fi preluate doar în limita a maxim 500 de caractere, fără a depăşi jumătate din totalul de caractere, şi cu citarea obligatorie a sursei, cu link activ. Orice abatere de la această regulă constituie o încălcare a Legii 8/1996 privind dreptul de autor. Dacă sunteţi interesaţi de preluarea ştirilor și articolelor publicate pe DPO-NET.RO, vă rugăm să ne contactati.

Peste 500.000 Euro amendă GDPR pentru o bancă din Bulgaria

Autoritatea pentru protecția datelor cu caracter personal din Bulgaria a anuțat pe data de 28 august 2019, aplicarea unei amenzi în valoare de un milion de leva (aproximativ […]

Prima sancțiune GDPR în SUEDIA: monitorizarea ilegală a elevilor

Autoritatea de supraveghere suedeză, Datainspektion, a anunțat ieri (21.08.2019) impunerea primei sale amenzi din era GDPR. O unitate de învățământ fost prima „victimă” O școală din Skellefteå a […]

A început GDPR Summer Challenge 2019!

68 de participanți din 14 echipe au luat startul in concursul GDPR Summer Challenge 2019. GDPR Summer Challenge este o simulare de caz la care participă mai multe […]

A patra amendă GDPR în România

În luna iulie, Autoritatea Națională de Supraveghere a Prelucrarea a Datelor cu Caracter Personal a finalizat o investigație la operatorul UTTIS INDUSTRIES SRL și a constatat că acesta […]

GDPR Summer Challenge este pregătit de lansare!

Sâmbătă, 10 August 2019, începe primul concurs național din România destinat aprofundarii și mai ales verificării cunoștințelor în domeniul protecției datelor. Scopul este ca participantii să dobândească cât […]

Te-ai înscris la GDPR Summer Challenge?

Peste 50 de persoane s-au înscris până acum în concursul „GDPR Summer Challenge”, motiv pentru care organizatorii au decis creșterea numărului de membrii într-o echipă la 5 persoane, […]

PwC amendată cu 150.000 EUR pentru nerespectarea GDPR!

Cine ar fi avut curaj să parieze că și companiile din Big Four vor cădea victime GDPR-ului? Acum cu siguranță s-ar fi îmbogățit de pe urma unui asemenea […]

Înscrie-te acum la GDPR Summer Challenge!

Acceptă GDPRovocarea acestui sfârșit de vară! 5 echipe formate din pasionați de GDPR vor concura pentru titlul de GDPR Summer Challenge Champion 2019. Nu este doar un concurs, […]

180.000 € amendă GDPR pentru o societate de asigurări

Într-un comunicat publicat pe site-ul său, în data de 25.07.2019, Autoritatea franceza de proteție a datelor (CNIL) a anunțat o nouă sancțiune pentru nerespectarea prevederilor GDPR-ului. Active Insurance, […]

Atenție la falsele certificări GDPR!

Înainte de a parcurge acest articol-manifest vă invit să răspundeți singuri la o întrebare: „Dacă ideea de a fi tratat de un fals doctor vă înspăimântă, v-ați lăsa […]

Persoanele fizice pot fi amendate, conform GDPR!

Pe zi ce trece devine din ce în ce mai greu să ignori titlurile bombastice care fac referire la acest nou Regulament European (GDPR). Majoritatea titlurilor încearcă să […]

Încă o amendă GDPR în domeniul medical? Da, 460.000 euro!

Amenzi, amenzi și iar amenzi. Voi nu v-ați săturat să citiți despre amenzi? Căci noi sigur ne-am săturat să scriem despre ele. Cu toate acestea este atât de […]

Ana-Maria Udriște: “ Este foarte important să alegi o persoană care să te ajute în implementarea GDPR și să te facă să înțelegi că documentația nu este suficientă”

“România, trei amenzi GDPR, două premiere europene”, așa am putea sintetiza contextul în care se află țara noastră, asistând în ultimele zile la o lecție GDPR în trei […]

A treia amendă GDPR în România, aplicată site-ului avocatoo.ro 

În data de 05.07.2019 Autoritatea Națională de Supraveghere a finalizat o investigație la operatorul LEGAL COMPANY & TAX HUB SRL și a constatat că acesta a încălcat prevederile art. […]

Marriott International riscă o amendă astronomică: peste 110 milioane €

Marriott International este a doua „victimă” a autorității de supraveghere a Marii Britanii, de săptămâna asta. După ce British Airways a primit ieri vestea că riscă a amendă […]

A doua amendă GDPR în România! A fost sancționat un operator din turism

După ce UNICREDIT BANK a spart gheața la sfârșitul săptămânii trecute, fiind prima organizație din România sancționată de autoritatea națională pentru încălcarea prevederilor Regulamentului general privind protecția datelor, […]

British Airways riscă o amendă record pentru încălcarea GDPR

În urma unei investigații extinse, ICO (autoritatea de supraveghere a Marii Britanii), a emis o declarație cu privire la intenția sa de a sancționa British Airways cu o […]

Analizăm prima amendă GDPR din România împreună cu Cristiana Deca

Anunțul primei amenzi GDPR în România a răsunat pe toate canalele de știri, stârnind interesul multora, motiv pentru care am rugat-o pe Cristiana Deca, unul dintre primii specialiști […]

Prima amendă GDPR în România

UNICREDIT BANK este prima organizație din România care este sancționată de autoritatea națională pentru încălcarea prevederilor Regulamentului general privind protecția datelor Conform comunicatului publicat azi de site-ul ANSPDCP […]

Ce facem după atacutile cibernetice asupra spitalelor românești? Nimic?

Spitalele sunt o țintă a atacurilor ransomware în toată lumea, nu doar în România. Foarte multe astfel de incidente au fost raportate de spitale în ultimii ani și […]