În cadrul unui eveniment privat la care au luat parte experți în protecția datelor în vederea realizării unui bilanț după un an de GDPR, reprezentantul Autorității Naționale de Supraveghere (ANSPDCP) a făcut public numărul responsabililor cu protecția datelor notificați până la 17 mai 2019. Astfel, un număr de 9.335 de DPO au fost înregistrați de Autoritate de la intrarea în vigoare a Regulamentului până în prezent.

Dar ce înseamnă această cifra? Sunt cei peste 9000 de DPO suficienți pentru a deservi toate organizațiile care au obligația de a desemna un DPO? Vă invităm să analizăm împreună datele.

Când este este obligatorie desemnarea unui responsabil cu protecția datelor?

Conform Art. 37 din GDPR, desemnarea responsabilului cu protecția datelor este obligatorie pentru:

• Toate autoritățile și organismele publice (indiferent de datele pe care le prelucrează, exceptând instanțele care acționează în exercițiul funcției lor jurisdicționale)

Autoritățile și organismele publice includ autoritățile naționale, regionale și locale, organizațiilor private care îndeplinesc sarcini publice sau exercită autoritate publică să numească un DPO

• Organizații care, ca activitate de bază, monitorizează persoane în mod sistematic și la scară largă

Monitorizarea periodică și sistematică a persoanelor vizate include toate formele de urmărire și profilare, atât online, cât și offline inclusiv în scopul publicității comportamentale

• Organizații care prelucrează categorii speciale de date cu caracter personal la scară largă

Atunci când se stabilește dacă procesarea se face la scară largă, liniile directoare afirmă că trebuie să țineți cont de următorii factori: numărul sau procentul  persoanelor vizate în cauză, volumul de date cu caracter personal prelucrate, gama elementelor diferite de prelucrat, extinderea geografică a activității, durata sau permanența activității de prelucrare.

Prin legea 190/2018 a fost introdusă o nouă categorie de prelucrări care implică obligativitatea desemnării unui DPO:

• Prelucrarea unui număr de identificare național, inclusiv prin colectarea sau dezvăluirea documentelor ce îl conțin, în vederea realizării intereselor legitime urmărite de operator sau de o parte terță

Numere de identificare națională sunt acele numere prin care se identifica o persoana fizica în anumite sisteme de evidenta și care au aplicabilitate generala, cum ar fi: codul numeric personal, seria și numărul actului de identitate, numărul pașaportului, al permisului de conducere, numărul de asigurare sociala sau de sănătate.

Celor de mai sus li se adaugă organizațiile care nu îndeplinesc criteriile de obligativitate a numirii unui DPO dar care doresc numirea unui Responsabil cu protecția datelor pe bază de voluntariat,urmând încurajările atât ale Grupului de lucru instituit prin articolul 29 („WP29”) cât și ale Autorității naționale în domeniul protecției datelor.

Luând în considerare faptul că numărul autorităților publice din România, conform Registrului Național al Instituțiilor Publice din România, publicat de  Agenția pentru Agenda Digitala a României (AADR), se ridică la peste 41.227, dacă excludem instanțele care acționează în exercițiul funcției lor jurisdicționale, rezultă peste 40.000 de instituții publice care sunt obligate sa desemneze un Responsabil cu protecția datelor.

Dacă acestui număr impresionant i se adaugă alte mii reprezentând operatori privați care, prin natura prelucrărilor, au obligația de a desemna un DPO, sau care nu au aceasta obligație dar au desemnat voluntar un DPO, estimările depășesc cu ușurință cifra de 50.000 de entități care ar fi trebui să numească un DPO și să-l comunice Autorității naționale de supraveghere.

Atenție: A nu se confunda numărul de DPO notificați Autorității cu numărul real de specialiști în protecția datelor, având în vedere că (indiferent că au calitatea de angajat sau este un serviciu externalizat) poate fi desemnat un responsabil cu protecția datelor unic, simultan, pentru mai multe entități.

Câți DPO sunt la nivelul Uniunii Europene?

Potrivit unui studiu realizat de Asociația Internațională a Profesioniștilor în Confidențialitate (IAPP), aproximativ 350.000 de organizații europene dintr-un total estimat de 500.000 au desemnat și notificat un Responsabili cu protecțiea datelor (DPO) în primul an de la aplicarea Regulamentului general privind protecția datelor (GDPR).

Aceasta estimare a fost realizată pe baza datelor oferite de 12 state care reprezinta 80% din produsul intern brut al Spațiul Economic European (SEE). În raportul IAPP nu a fost luat în calcul numărul de DPO din Germaniei, a cărei legislații anterioară GDPR-ului prevedea necesitatea numirii de ofițeri de protecție a datelor, motiv pentru care aproximativ 182.000 de DPO sunt înregistrați la Autoritatea germană.

CEO al IAPP, Trevor Hughes, a spus "Companiile au integrat protecția datelor în structurile lor de guvernare și au îmbrățișat cerințele de responsabilitate cerute de GDPR. Bineînțeles, doar numirea unui DPO nu este suficientă. Organizațiile trebuie să se asigure că responsabilii cu protecția datelor sunt instruiți și calificați pentru a aborda una dintre problemele de politică tehnologică definitorii ale timpului nostru, protejând confidențialitatea și datele persoanelor."

Căt costă un DPO la nivelul Uniunii Europene?

Într-o cercetare separată, IAPP a chestionat membrii din Europa în ceea ce privește salariul și compensația globală. Rezultatele acestui sondaj arată că un DPO din Europa câștigă un salariu mediu de 88.000 de dolari pe an.

Cel mai probabil acest chestionar nu a ajuns și la specialiștii romani și spunem asta convinși fiind că suma rezultată ar fi fost sensibil mai redusă.

Care sunt riscurile nedesemnării unui DPO?

Conform Art. 83 a) din GDPR, nerespectarea dispozițiilor art. 37-39 (cele care reglementează activitatea Responsabilului cu protecția datelor), de către operatori din mediul privat, poate fi sancționată cu amenda administrativă de până la 10.000.000 Euro sau, în cazul unei întreprinderi, de până la 2 % din cifra de afaceri mondială totală anuală.

În ceea ce privește autoritățile/organismele publice naționale, legea 190/2018 instituie un regim special, astfel că încălcarea art. 37-39 din GDPR constituie contravenție și se sancționează cu amendă de la 10.000 lei până la 100.000 lei. Am putea încerca să facem o glumă spunând ca diferența între 10 milioane de euro și 100 de mii de lei  constă doar în două zerouri și o conversie a monezii, deci nimic spectaculos, dar știm că nu va râde nimeni..

Ce concluzii putem trage?

Cele 9.335 de notificări înregistrate la Autoritate, privind desemnarea responsabililor cu protecția datelor, sunt indiciu clar al lipsei de responsabilități în special din partea autorităților publice, adică exact cei care ar trebui sa constituie un exemplu pentru restul operatorilor din România.

Cauzele acestei discrepanțe majore le putem intui cu ușurință:

• nealocarea bugetului necesar angajării sau contractării unu DPO;
• lipsa unor programe de formare la nivel național (un număr extrem de mic de universități au dezvoltat cursuri postuniversitare pentru protecția datelor care a lăsat loc numeroaselor cursuri de o după-amiază);
• Și poate cel mai important: dezinteresul majorității organismelor publice naționale de a se alinia la dispozițiile GDPR.

Toate aceste “lipsuri” necesită o remediere treptată dar sincronizată pentru a se evita apariția în piață a mii de “specialiști” fără pregătirea necesară unei activități atât de dificilă și importantă.

Mai mult, desemnarea unui DPO prin cumul de funcții este o soluție care trebuie cântărită cu mare atenție, existând riscul ca Responsabilul cu protecția datelor să se afle în incompatibilitate sau să nu trateze rolul de DPO ca fiind cel principal și implicit să nu aloce suficient timp și energie, obținându-se astfel doar o aliniere formală la GDPR din perspectiva obligației numirii unui Responsabil cu protecția datelor.

În tot acest context descrie, concluzionăm că România are nevoie de specialisti, mult mai mulți decat cei deja înregistrați deja, pentru a asigura implementarea principiilor GDPR atât în cadrul organizațiilor private cât și în cadrul celor peste 40.000 de instituții publice.

Printr-un comunicat de presă publicat ieri (13.06.2019) pe site-ul său, Agenția Națională de Administrare Fiscală atrage atenția contribuabililor asupra unei posibile fraude care se derulează în prezent.

În ce consta înșelăciunea?

Persoanele fizice sunt informate prin sms sau prin e-mail că au de primit bani de la ANAF. Pentru a intra în posesia respectivei sume de bani, aceștia trebuie să acceseze o adresa de internet unde li se cere să completeze un formular cu o serie de date personale inclusiv conturile bancare și PIN-urile acestora.

ANAF ne sfătuiește să nu accesăm link-uri din sms-uri primite în numele său, pentru că Agenția nu transmite informații nesolicitate prin sms. Mai mult, ANAF atrage atenția că  portalul oficial al instituției este www.anaf.ro.

Prin urmare, dacă primiți un sms în numele ANAF, cu siguranță este o tentativa de frauda. În cazul în care veți primi un e-mail ce pare veni din partea ANAF, verificați cu atenție adresa expeditorului, asigurându-vă că aceasta este de @anaf.ro iar eventualele link-uri să conducă către o pagină din portalul oficial al instituției este www.anaf.ro.

Cum ne protejăm de aceste înșelăciuni?

Vă atragem atenția că astfel de încercări de fraudă, deși nu sunt o noutate, continua să facă facă victime printre utilizatorii mai puțin vigilenți. Gândiți de doua ori înainte să dați un click sau să transmiteți date personale, în special atunci când vi se oferă gratuități sau chiar sume de bani. În general ofertele care par prea bune încât să poată să fie refuzate ascund pericole.

În cazul în care un e-mail, un apel telefonic sau un SMS, vă trezește suspiciuni, verificați sursele și interlocutorii înainte de a lua decizii pe care este foarte posibil să le regretați ulterior.

Mai mult, în cazul în care depistați o tentativă de fraudă, vă încurajăm să o raportați Centrului Național de Răspuns la Incidente de Securitate Cibernetică (CERT-RO) care a lansat în luna mai a acestui an numărul unic 1911, apelabil din toate rețelele, la care pot fi raportate incidentele de securitate cibernetică de către persoanele fizice, juridice și instituțiile publice. Prin intermediul serviciului de call-center veți beneficia de asistență primară și consiliere pentru diagnosticare și remediere.

În primele cinci zile de la operaționalizarea numărului unic 1911, 87 de alerte unice de securitate cibernetică au fost raportate către CERT-RO.

„Statistic, cele mai numeroase, aproximativ 30% sunt tip fraude (phishing, sextortion, etc), conținut abuziv aproximativ 14% (spam, mesaje comerciale nedorite, etc), alături de alerte privind sisteme compromise (neactualizate, configurate necorespunzător sau neactualizate), încercări automate de spargere a parolelor, furt de informație, precum și un atac de tip ransomware (criptarea datelor de pe hard-disk).” declara ministrul Comunicațiilor Alexandru Petrescu.

Mai multe informații despre numărul 1911 găsiți aici

Atacatorii vor schimba mereu modul de operare, pentru a încerca să va ducă în eroare. Un astfel de exemplu este reinventarea metodei “Accidentul”, pusă în scenă de o echipa mixta, formata din romani și bulgari. Aceștia se recomandau polițiști și rugau diverse persoane (victimele) să accepte să dea bani unor ”infractori” pentru a-i prinde în flagrant. Naivi, oamenii care credeau că dau o mână de ajutor poliție, au rămas fără bani.

În urmă cu doua luni vă prezentam cele mai frecvente amenințări de securitate, o colecție de 26 de pericole descrise de care trebuie sa ne ferim și pe care trebuie să  învățăm să le putem identifica. Va recomandăm să fiți vigilenți și să vă informați constant asupra pericolelor existente. Urmărind știrile platformei noastre sau informările săptămânale ale CERT.RO, veți putea afla care sunt ultimele amenințări identificate de experții în securitate.

LATER EDIT

Pe pagina sa de Facebook, CERT-RO ne asigură că "s-au efectuat toate demersurile necesare blocării acelui site care găzduiește această tentativă de păcăleală, iar Google a inclus deja o avertizare pentru cei care accesează acel link.

Iată ce vă sfătuiește CERT-RO să faceți dacă ați fost victime ale acestei fraude:
1️⃣ să verificați tranzacțiile de pe contul bancar anexat cardului, pentru eventuale plăți suspecte,
2️⃣ să notificați acest lucru cât mai rapid băncii emitente a cardului, pentru a-l bloca și emite altul, cu alte date,
3️⃣ să depuneți o plângere la cea mai apropiată secție de Poliție, în cazul în care au suferit pagube financiare în urma unui astfel de incident.

Da, angajații reprezintă unul dintre cele mai mari riscuri în ceea ce privește securitatea unei unei organizații. Și nu spunem noi asta mergând pe principiul 80/20 al lui Pareto, transpus în business (80% din probleme sunt cauzate de 20% dintre angajați), ci studiul State of Cybersecurity 2019 realizat de ISACA.

Analiza răspunsurilor a peste 1500 de respondenți din întreaga lume ne prezintă câteva elemente asupra cărora orice top level manager ar trebui să reflecte înainte de a adopta strategia de securitate a afacerii sale.

Primul lucru care ne-a atras atenția este faptul că 15% dintre amenințările de securitate înregistrate de o organizație provin din rândul propriilor angajați, aceștia clasându-se pe podiumul riscurilor, fiind surclasați doar de infractori cibernetici și hackeri.

De ce sunt vulnerabile companiile la amenințările interne?

Lipsa programelor de conștientizare, a procedurilor clare, a unui program adecvat de instruire al angajaților ii pune pe aceștia în situația de a nu fi conștienți de greșelile pe care le pot face. Astfel, aceștia vor trata cu superficialitate și lipsa de responsabilitate fluxurile de date din organizație, acesta fiind drumul cel mai scurt către incidentele de securitate.

Revenind la studiul ISACA, 57% dintre respondenți consideră că programele de training pentru angajați sunt cea mai buna soluție pentru diminuarea riscurilor privind securitatea organizației, în timp ce 36% dintre aceștia considera ca externalizarea serviciilor de specialitate în domeniul securității cibernetice ar conduce la o mai buna gestionare a amenințărilor la securitatea organizației.

Interesant este faptul că 60% dintre respondenți admit că bugetul alocat securității cibernetice este insuficient pentru a asigura un grad adecvat de protecție, deși  recunosc că este foarte probabil să fie ținta unui atac cibernetic în decursul acestui an.

33% dintre directori vă vor concedia dacă veți cauza un incident de securitate

Un studiu interesant, realizat de Nominet, ne arată faptul că angajații care cauzează accidental un incident de securitate se pot confrunta cu mari probleme. Mai exact,  33% dintre directorii de companii chestionați au declarat că vor rezilia contractul angajaților dacă aceștia vor cauza un incident de securitate.

Sa fie oare acesta caza pentru numărul mic de incidente de securitate raportate? Revenind la studiul ISACA, aflăm că 3 din 4 indecente nu sunt raportate sau gravitatea lor este mult subdimensionată.

Cu alte cuvinte noi nu vom afla decât de bresle care nu mai au loc sub covor, asta pentru că marea majoritate a organizațiilor încearcă să le ascundă existenta sau gravitatea pentru a evita sancțiunile financiare, costurile de remediere sau cele asociate prejudiciilor de imagine.

Ce concluzii putem trage?

Carența unei culturi a responsabilității, în rândul angajaților, privind protecția datelor personale este un factor de risc. Acesta poate fi diminuat substanțial în urma instituirii unor programe de instruire cu privire la importanța protecției datelor în concordanță cu practicile generale și politicile specifice activității companiei.

Responsabilizarea angajaților din perspectiva protecției datelor personale va aduce un plus de valoare companiei. Un angajat conștient și informat este un angajat vigilent și care acționează cu responsabilitate, riscurile unei erori umane scăzând, în același timp în care randamentul muncii crește. Mai mult, identificarea rapidă a eventualelor breșe de securitate și respectarea protocolului de răspuns la incidente va minimiza pierderile companiei.

Costurile cu neinstruirea personalului pot fi foarte mari

Răspunderea este a angajatorului:“Datorită raportului de prepușenie dintre operator și salariații cu atribuții în domeniul protecției datelor personale, operatorul, adică societatea, va suporta povara costurilor asociate unei eventuale reclamații. Vina unui incident de securitate (breșă) ce privește datele personale, aruncată pe umerii un angajat neinstruit, nu exonerează în nici un fel responsabilitatea operatorului (angajatorului). Referitor la instruirea GDPR a angajaților, Cristina ne atrage atenția asupra faptului că acesta “trebuie să fie un proces ciclic (bianual sau cel puțin anual) pentru a putea fi sincronizat cu evoluția perpetuă a amenințărilor. Mai mult, instruirea GDPR a personalului ar trebui solicitată pentru fiecare modificare adusă fluxurilor de date și proceselor sau a legislației aplicabilă”, afirmă Cristina Mătasă, Consultant GDPR.