Pe parcursul anului 2019, operatorii au înregistrat la Autoritatea Naţională de Supraveghere un număr de 4318 responsabili cu protecția datelor numiți de către operatorii din sectorul public și privat (Sursa: raportul anual 2019 ANSPDCP, pag.70) care se adaugă la cei 7225 responsabili cu protecția datelor numiți pe tot parcursul anului 2018 (Sursa: raportul anual 2018 ANSPDCP, pag.106).

În total, de la data aplicării Regulamentului UE 679/2016 și până la începutul anului 2020 au fost notificați către Autoritate 11543 de responsabili. Dar ce înseamnă această cifra? Este acest număr suficient pentru a deservi toate organizațiile din sectorul public și privat care au obligația de a desemna un DPO? Vă invităm să analizăm împreună datele.

Când este este obligatorie desemnarea unui responsabil cu protecția datelor?

Conform Art. 37 din GDPR, desemnarea responsabilului cu protecția datelor este obligatorie pentru:

• Toate autoritățile și organismele publice (indiferent de datele pe care le prelucrează, exceptând instanțele care acționează în exercițiul funcției lor jurisdicționale)

Autoritățile și organismele publice includ autoritățile naționale, regionale și locale, organizațiilor private care îndeplinesc sarcini publice sau exercită autoritate publică trebuie să numească un DPO.

• Organizații care, ca activitate de bază, monitorizează persoane în mod sistematic și la scară largă

Monitorizarea periodică și sistematică a persoanelor vizate include toate formele de urmărire și profilare, atât online, cât și offline inclusiv în scopul publicității comportamentale.

• Organizații care prelucrează categorii speciale de date cu caracter personal la scară largă

Atunci când se stabilește dacă procesarea se face la scară largă, liniile directoare afirmă că trebuie să țineți cont de următorii factori: numărul sau procentul  persoanelor vizate în cauză, volumul de date cu caracter personal prelucrate, gama elementelor diferite de prelucrat, extinderea geografică a activității, durata sau permanența activității de prelucrare.

Prin Legea 190/2018 a fost introdusă o nouă categorie de prelucrări care implică obligativitatea desemnării unui DPO:

• Prelucrarea unui număr de identificare național, inclusiv prin colectarea sau dezvăluirea documentelor ce îl conțin, în vederea realizării intereselor legitime urmărite de operator sau de o parte terță

Numere de identificare națională sunt acele numere prin care se identifica o persoana fizica în anumite sisteme de evidenta și care au aplicabilitate generala, cum ar fi: codul numeric personal, seria și numărul actului de identitate, numărul pașaportului, al permisului de conducere, numărul de asigurare sociala sau de sănătate.

Celor de mai sus li se adaugă organizațiile care nu îndeplinesc criteriile de obligativitate a numirii unui DPO dar care doresc numirea unui Responsabil cu protecția datelor pe bază de voluntariat,urmând încurajările atât ale Grupului de lucru instituit prin articolul 29 („WP29”) cât și ale Autorității naționale în domeniul protecției datelor.

Luând în considerare faptul că numărul autorităților publice din România, conform Registrului Național al Instituțiilor Publice din România, publicat de  Agenția pentru Agenda Digitala a României (AADR), se ridică la peste 41.227, dacă excludem instanțele care acționează în exercițiul funcției lor jurisdicționale, rezultă peste 40.000 de instituții publice care sunt obligate sa desemneze un Responsabil cu protecția datelor.

Dacă acestui număr impresionant i se adaugă alte mii reprezentând operatori privați care, prin natura prelucrărilor, au obligația de a desemna un DPO, sau care nu au aceasta obligație dar au desemnat voluntar un DPO, estimările depășesc cu ușurință cifra de 50.000 de entități care ar fi trebui să numească un DPO și să-l comunice Autorității naționale de supraveghere.

Atenție: A nu se confunda numărul de DPO notificați Autorității cu numărul real de specialiști în protecția datelor, având în vedere că (indiferent că au calitatea de angajat sau este un serviciu externalizat) poate fi desemnat un responsabil cu protecția datelor unic, simultan, pentru mai multe entități.

Câți DPO sunt la nivelul Uniunii Europene?

Potrivit unui studiu realizat de Asociația Internațională a Profesioniștilor în Confidențialitate (IAPP), aproximativ 350.000 de organizații europene dintr-un total estimat de 500.000 au desemnat și notificat un Responsabili cu protecțiea datelor (DPO) în primul an de la aplicarea Regulamentului general privind protecția datelor (GDPR).

Aceasta estimare a fost realizată pe baza datelor oferite de 12 state care reprezinta 80% din produsul intern brut al Spațiul Economic European (SEE). În raportul IAPP nu a fost luat în calcul numărul de DPO din Germania, a cărei legislații anterioară GDPR-ului prevedea necesitatea numirii de ofițeri de protecție a datelor, motiv pentru care aproximativ 182.000 de DPO sunt înregistrați la Autoritatea germană.

CEO al IAPP, Trevor Hughes, a declarat: "Companiile au integrat protecția datelor în structurile lor de guvernare și au îmbrățișat cerințele de responsabilitate cerute de GDPR. Bineînțeles, doar numirea unui DPO nu este suficientă. Organizațiile trebuie să se asigure că responsabilii cu protecția datelor sunt instruiți și calificați pentru a aborda una dintre problemele de politică tehnologică definitorii ale timpului nostru, protejând confidențialitatea și datele persoanelor."

Căt costă un DPO la nivelul Uniunii Europene?

Într-o cercetare separată, IAPP a chestionat membrii din Europa în ceea ce privește salariul și compensația globală. Rezultatele acestui sondaj arată că un DPO din Europa câștigă un salariu mediu de 88.000 de dolari pe an.

Cel mai probabil acest chestionar nu a ajuns și la specialiștii romani și spunem asta convinși fiind că suma rezultată ar fi fost sensibil mai redusă.

Care sunt riscurile nedesemnării unui DPO?

Conform Art. 83 a) din GDPR, nerespectarea dispozițiilor art. 37-39 (cele care reglementează activitatea Responsabilului cu protecția datelor), de către operatori din mediul privat, poate fi sancționată cu amenda administrativă de până la 10.000.000 Euro sau, în cazul unei întreprinderi, de până la 2 % din cifra de afaceri mondială totală anuală.

În ceea ce privește autoritățile/organismele publice naționale, Legea 190/2018 instituie un regim special, astfel că încălcarea art. 37-39 din GDPR constituie contravenție și se sancționează cu amendă de la 10.000 lei până la 100.000 lei. Am putea încerca să facem o glumă spunând ca diferența între 10 milioane de euro și 100 de mii de lei  constă doar în două zerouri și o conversie a monezii, deci nimic spectaculos, dar știm că nu va râde nimeni..

Ce concluzii putem trage?

Cele 11543 de notificări înregistrate la Autoritate, privind desemnarea responsabililor cu protecția datelor, sunt un indiciu clar al lipsei de responsabilități în special din partea autorităților publice, adică exact cei care ar trebui sa constituie un exemplu pentru restul operatorilor din România.

Cauzele acestei discrepanțe majore le putem intui cu ușurință:

• nealocarea bugetului necesar angajării sau contractării unu DPO;
• lipsa unor programe de formare la nivel național (un număr extrem de mic de universități au dezvoltat cursuri postuniversitare pentru protecția datelor care a lăsat loc numeroaselor cursuri de o după-amiază);
• Și poate cel mai important: dezinteresul majorității organismelor publice naționale de a se alinia la dispozițiile GDPR.

Toate aceste “lipsuri” necesită o remediere treptată dar sincronizată pentru a se evita apariția în piață a mii de “specialiști” fără pregătirea necesară unei activități atât de dificilă și importantă.

Mai mult, desemnarea unui DPO prin cumul de funcții este o soluție care trebuie cântărită cu mare atenție, existând riscul ca Responsabilul cu protecția datelor să se afle în incompatibilitate sau să nu trateze rolul de DPO ca fiind cel principal și implicit să nu aloce suficient timp și energie, obținându-se astfel doar o aliniere formală la GDPR din perspectiva obligației numirii unui Responsabil cu protecția datelor.

În tot acest context descris, concluzionăm că România are nevoie de specialisti, mult mai mulți decat cei deja înregistrați deja, pentru a asigura implementarea principiilor GDPR atât în cadrul organizațiilor private cât și în cadrul celor peste 40.000 de instituții publice.

În urma diferitelor discuții purtate cu colegi și colaboratori DPO au reieșit câteva dintre condițiile dificile în care își desfășoară activitatea unii dintre aceștia și, din provocările cu care se confruntă au rezultat următoarele constatări:

• Există opoziție din partea restului organizației,
• Volumul de muncă este masiv și în continuă creștere,
• Independența DPO este contestată,
• DPO-ul se confruntă cu lipsa suportului managementului pentru schimbarea situațiilor descrise anterior.

DPO, ca și garant al respectării dreptului fundamental al persoanelor fizice la protecția datelor cu caracter personal, este o componentă importantă a Regulamentului privind protecţia persoanelor fizice în ceea ce priveşte prelucrarea datelor cu caracter personal (679/2016 /GDPR).

Neînțelegerea de către operatori a acestui rol al DPO este un alt motiv pentru care acesta întâmpină dificultăți în îndeplinirea sarcinilor sale și în consolidarea poziției sale în cadrul organizației.

Acest specialist este desemnat de Regulament să protejeze/să asigure protecția datelor cu caracter personal ale persoanelor vizate, iar acest lucru reiese clar și din titulatura acestei funcții, fie că este denumit responsabil (într-o traducere neinspirată din limba engleză), fie că este denumit ofițer (DPO - Data Protection Officer). În relația sa cu operatorul, DPO are obligația de a se asigura că datele personale al persoanelor vizate nu sunt opționale, sunt prelucrate în condiții de securitate, iar obligația sa de a nu aviza favorabil prelucrări de date personale care ar încălca dreptul persoanelor la protecția datelor face ca, uneori, relațiile dintre aceste două părți să devină tensionate.

Rolul unui DPO asigură că operatorii de date sunt informați cu privire la riscurile legate de diferite activități de prelucrare, include consilierea cu privire la evaluările impactului asupra protecției datelor (DPIA), supravegherea acurateței cartografierii datelor, instruirea personalului și răspunsul la cererile de acces ale persoanelor vizate (DSAR), iar un DPO capabil este tocmai punctul de echilibru al unui program de protecție a datelor de succes.

Organizațiile care promovează o cultură a conformității datelor se află în avantaj competitiv într-o lume în care confidențialitatea și protecția datelor contează mai mult decât oricând. Pentru cei care nu fac acest lucru, riscurile financiare, juridice și reputație pot fi semnificative.

Tocmai din această perspectivă a provocărilor tot mai complexe, DPO nu ar trebui să rezolve problemele în mod individual. În schimb, autoritățile vor trebui să își asume un rol activ în îmbunătățirea condițiilor pentru DPO, oferind îndrumări clare și explicite cu privire la chestiuni practice și prin aplicarea sancţiunilor în cazurile de încălcare a Regulamentului și/sau al breșelor de securitate.

Rolul DPO în evaluarea impactului și interpretarea legilor privind protecția datelor

Articolul 38 din GDPR prevede ca atât operatorul cât și persoana împuternicită să se asigure că DPO este „implicat, în mod corespunzător și în timp util, în toate aspectele legate de protecția datelor cu caracter personal”. Acest lucru implică faptul că DPO nu este consultat doar ocazional sau post factum (când apar incidente de securitate sau când sunt de procesat cereri ale persoanelor vizate pentru exercitarea drepturilor acestora), ci și ante factum, pentru ca aspectele legate de protecția datelor cu caracter personal să fie avute în vedere și luate în considerare înainte de desfășurarea unor activități noi care presupun prelucrări de date cu caracter personal. Cu alte cuvinte, această consultare prealabilă a DPO și respectarea avizului acestuia înseamnă că se respectă, implicit și principiul privacy by design al activității de prelucrare a datelor preconizată de operator.

Din faptul că DPO are sarcina de a oferi consultanță operatorului, acesta din urma ar trebui să înțeleagă și faptul că DPO, chiar dacă dă aviz negativ felului în care operatorul a realizat prelucrarea de date, poate oferi și soluții pentru ca acea prelucrare să devină conformă cu GDPR, parțial, sau chiar integral.

Acest lucru nu înseamnă că DPO este un magician cu soluții minune disponibile în joben, pentru ca operatorul să poată face prelucrarea de date dorită folosindu-se de eventuale interpretări din zona gri a Regulamentului.

Acolo unde nu există dubii asupra prevederilor Regulamentului, iar DPO a dat un aviz negativ pe baza acestora, operatorul trebuie să respecte acest aviz și să nu interpreteze poziția DPO ca fiind una negativă, îndreptată împotriva operatorului și a intereselor acestuia ci, din contră, să înțeleagă că prin acel aviz negativ, DPO îl protejează și pe el, de fapt, nu doar persoanele vizate.

În temeiul articolului 39, “un DPO nu primeşte niciun fel de instrucţiuni în ceea ce priveşte tratarea unei probleme, de exemplu, ce rezultat ar trebui obținut, cum să investigheze o plângere, sau dacă să consulte Autoritatea de Supraveghere. Mai mult, aceștia nu trebuie să aibă o anumită viziune asupra unei probleme legate de legislația privind protecția datelor, de exemplu, o interpretare specială a legii”. (Comitetul European pentru Protecția Datelor).

Independența DPO este testată foarte dur mai ales în situațiile în care operatorul se confruntă cu o breșă de securitate. Dacă DPO, în urma analizării faptelor și a contextului în care s-a produs incidentul de securitate decide că operatorul se confruntă cu o încălcare a securității datelor personale iar acesta trebuie să-și respecte obligația legală de a notifica breșa de securitate la ANSPDCP, DPO trebuie să păstreze o poziție fermă și să nu cedeze eventualelor sugestii sau chiar insistențelor operatorului de a cosmetiza incidentul, de a ascunde informații, sau chiar de a nu respecta prevederile GDPR privind notificarea breșelor de securitate. Această poziție a DPO este de cele mai multe ori generatoare de tensiuni între operator și DPO, mai ales atunci când, operatorul se va confrunta cu amendă/măsuri corective din partea Autorității. Pierderile operatorului în termeni de credibilitate și reputație pot fi mult mai importante decât o amendă de câteva mii de euro (în primele 5 luni ale anului 2020,  media/amendă în România a fost de 3.358 euro).

În legătură cu evaluările impactului asupra protecției datelor (DPIA),  GDPR prevede implicarea timpurie a DPO și specifică la articolul 35 alineatul (2) că operatorul va solicita sfatul DPO atunci când efectuează astfel de evaluări de impact. Guidelines on Data Protection Officers (‘DPOs’) - Ghidul privind Responsabilul cu protecția datelor cu caracter personal prevede faptul că „dacă operatorul nu este de acord cu sfaturile furnizate de DPO, documentația DPIA ar trebui să justifice în scris în mod specific motivul pentru care sfatul nu a fost luat în considerare”. În plus, articolul 36 din Regulamentul 679/2016 obligă operatorul să consulte Autoritatea de protecție a datelor, prin intermediul DPO, înainte de prelucrare, în cazul în care DPIA indică existența unui risc ridicat al prelucrării.

Deci, ce înseamnă asta în practică?

O bună gestionare a conformității prelucrării datelor provine dintr-o bună guvernanță implementată în practică. Dacă independența DPO este ceva care există doar scriptic în organizație, în realitate:

1. sfatul DPO nu este apreciat și nici luat în considerare
2. DPO nu este implicat în toate procesele relevante
3. uneori i se solicită DPO să își schimbe recomandările, ceea ce ulterior constituie o slăbiciune a acestuia, chiar o încălcare a GDPR.

Echipa de management a operatorului trebuie să sprijine construirea culturii conformității în organizație nu numai prin punerea la dispoziția DPO a resurselor umane, financiare sau logistice necesare (conform art 38 din GDPR), pentru ca acesta să-și îndeplinească sarcinile specifice, dar și prin sprijinirea DPO în îndeplinirea sarcinilor sale. Aceasta implică ascultarea și luarea de măsuri pe baza sugestiilor uneori incomode din partea DPO, cu privire la consolidarea stării de maturitate organizațională.

Cum putem rezolva problemele

Opoziția din partea restului organizației față de activitatea de protecţie a datelor provine, de obicei, din trei motive:

• lipsa sprijinului acordat de conducere activităţii de protecţie a datelor,
• roluri și responsabilități neclare
• instrumente de lucru neadecvate

Dacă cel mai înalt nivel al conducerii operatorului nu a fost clar în comunicarea cu privire la importanța unui management implicat și a unor practici de protecţie a datelor coerente față de întreaga organizație, poate fi dificil pentru angajații care nu sunt implicați în mod curent în activitatea de protecție a datelor să înțeleagă importanța unor sarcini suplimentare care trebuie îndeplinite. Pentru că îndeplinirea sarcinilor privind protecția datelor personale nu este o activitate direct productivă, nefiind ceva ‘palpabil’ cu efecte directe in zona beneficiilor materiale, este esențial ca, în astfel de situaţii, conducerea să trimită un mesaj clar și să dedice timp și efort pentru a sublinia importanța unei culturi solide a protecţiei datelor. Obținerea unei conformități GDPR reale, de facto a organizației este un efort de echipă și nu poate fi considerată sarcina exclusivă a DPO.

Un alt motiv pentru opoziție poate fi lipsa de roluri bine definite și atribuirea clară a responsabilităților. În multe organizații, există încă loc de îmbunătățire atunci când vine vorba de proiectarea organizației care trebuie să mențină documentația activităților de prelucrare a datelor și să efectueze evaluările și monitorizarea îndeplinirii sarcinilor. Cade în sarcina echipei de management să implice toți membrii organizației în sprijinirea DPO pentru identificarea corectă a activităților de prelucrare a datelor personale, de furnizare corectă și completă a informațiilor către DPO și, acolo unde este cazul, fiecare actor implicat în implementarea GDPR să elaboreze și să gestioneze partea proprie de documentație.

Atunci când un angajat se confruntă brusc cu o sarcină legată de protecţia datelor care nu a fost prioritizată de conducere, sau care i-a fost atribuită în mod oficial pe cale administrativă, reacția naturală a acestuia este de a o neglija (mai ales dacă este solicitat și de celelalte atribuții de serviciu). DPO va experimenta acest lucru ca o respingere, sau chiar opoziție față de munca ce trebuie făcută. În această situație e indicat ca DPO, să dea dovadă de tact, pentru a compensa și chiar a înlătura reticența și opoziția , celorlalte părți interesate prin îndrumări și clarificări necesare si astfel să răspundă în mod adecvat la nevoile fiecărei părți și să își îndeplinească obligațiile față de toate părțile.

În consecință, este esențial ca fiecare organizație să aibă timp să ia în considerare rolurile din organizație pentru a îndeplini toate sarcinile relevante atât la nivel strategic, cât și la nivel tactic și operațional. Până când nu sunt definite clar rolurile și responsabilităţile fiecăruia cu privire la ce trebuie să facă și până când această nouă atribuţie nu este percepută și acceptată ca fiind necesară, DPO va continua să se lupte pentru a obține și colaborare din partea celor implicaţi.

Al treilea motiv pentru care DPO se află în conflict este din cauza instrumentelor de lucru depășite și ineficiente. Multe organizații se bazează încă pe tabele Excel și șabloane “word”,  în cel mai bun caz centralizate pe un site SharePoint. Această configurare face practic imposibil pentru DPO să delege atribuțiile într-un mod eficient și permite doar adaptarea limitată la situația specifică. Prin urmare, destinatarul noii activități va experimenta interacțiunea cu DPO ca fiind rigidă și suprasolicitantă. O mulțime de instrumente de lucru sunt disponibile pe piață astăzi, iar DPO ar trebui să aibă acces la cele mai bune dintre ele pentru a facilita organizațiilor să sprijine conformitatea cu cerințele Regulamentului. DPO poate îmbunătăți colaborarea cu salariații și poate obține colaborarea voluntară și conștientă a acestora pentru implementarea GDPR, folosindu-se de calitățile sale “naturale”, dar nu poate compensa lipsa resurselor financiare și carcterul depăsit al instrumentelor de lucru pe care le are la dispoziție. Mare parte din reticența, sau chiar opoziția celorlalți membri ai entității organizaționale în ce privește îndeplinirea sarcinilor pe linie de protecție a datelor personale, ar putea fi depășite dacă ar putea fi contrabalansate de timpul scurt de realizare a acestora cu ajutorul unor instrumente de lucru performante.

Volumul de muncă deseori copleşitor

Motivul creșterii volumului de muncă provine de obicei din proiectarea organizațională ineficientă, lipsa resurselor și lipsa disponibilității instrumentelor adecvate.

Atunci când vine vorba de a complica munca pentru DPO, lipsa unui design organizațional eficient este întotdeauna vinovatul principal. În multe organizații, DPO a ajuns să fie “calul de bătaie” pentru întreaga corporație. DPO trebuie să țină evidența activităților de procesare, să elaboreze acorduri de prelucrare a datelor, să efectueze DPIA-uri, să asigure implementarea capabilităților tehnice, să instruiască angajații și să monitorizeze implementarea practicilor de protecţie a datelor. Cu alte cuvinte, DPO a devenit o resursă operațională necesară pentru îndeplinirea sarcinilor, care în mod ideal ar trebui să fie îndeplinite de către cei responsabili cu activitățile de prelucrare. Rețineți că articolul 39 din GDPR prevede că DPO doar va informa și consilia, misiunea lui nu este de a efectua lucrările operaționale propriu-zise.

Această provocare este rezultatul unui concept organizațional ineficient, în care responsabilitatea de a îndeplini sarcinile enumerate mai sus nu a fost atribuită resurselor relevante, sau, dacă au fost atribuite, acest lucru s-a făcut doar scriptic, iar echipa de management nu s-a asigurat prin acțiuni de monitorizare și control eficiente că aceste sarcini chiar sunt îndeplinite, aceasta fiind una din explicațiile pentru care salariații manifestă reticență sau refuză, tacit sau chiar explicit, să îndeplinească aceste sarcini. În consecință, pe baza neînțelegerii rolului DPO, organizația se așteaptă ca acesta să gestioneze toate aspectele operaționale legate de activitatea de protecţie a datelor. În schimb, DPO ar trebui să acționeze la un nivel tactic, să instruiască și să ofere sfaturile necesare celor care fac munca la nivel operațional. DPO are de îndeplinit și o parte operațională în activitatea sa, dar nu poate prelua și îndeplini aceste activități pentru toată organizația.

Pentru îndeplinirea conformității nu înseamnă neapărat că trebuie să existe mai mulți angajați în zona de protecţie a datelor. Cu toate acestea, doar puține organizații au luat în considerare impactul GDPR la nivel operațional și au alocat timp pentru sarcinile suplimentare ale angajaţilor referitor la protecţia datelor, în plus faţă de activitățile curente ale postului. De asemenea, responsabilitatea de a îndeplini aceste sarcini trebuie să le fie atribuită în mod clar. Acest lucru va elimina o parte din volumul de lucru al DPO și va elibera timp pentru alte sarcini critice. În esență, salariații urmează indicaţiile operatorului, iar DPO îi ajută să înțeleagă CUM să facă ceea ce le solicită operatorul. DPO are o contribuție hotărâtoare la clarificarea acestui CE este de făcut, dar este obligația operatorului să impună realizarea sarcinilor, fie direct, fie dându-i DPO autoritatea necesară (este valabil pt toți stakeholderii, nu numai pt salariați)pentru ca acesta să poată stabili sarcini și atribuții pe linie GDPR, așa cum este prevăzut în art. 39, alineatul 1, lit. b) din Regulamentul 679/2016.

Încă o dată, accesul la instrumente de lucru de ultimă generație (aplicații automatizate, sisteme inteligente) este esențial pentru ca DPO să își poată îndeplini sarcinile (ceea ce nu înseamnă că DPO, sau angajații nu și-ar putea îndeplini sarcinile folosind documente create în Excel sau șabloane în “word”, ci existența unor instrumente de lucru de ultimă generație s-ar traduce în timpi mult mai scurți de efectuare a acestor sarcini suplimentare și ar avea ca efecte benefice detensionarea relațiilor între DPO și restul organizației și reducerea / eliminarea reticenței, opoziției sau refuzului de a contribui activ la obținerea conformității GDPR).

Independența DPO este contestată

Amenințarea la adresa independenței DPO este o problemă mult mai gravă și care poate necesita o implicare externă, dacă DPO este blocat în mod repetat în a-și prezenta opiniile către conducere, la orice nivel. Mulți DPO reclamă faptul că se confruntă cu numeroase situații în care conducerea s-a opus anumitor evaluări făcute de acesta cu privire la riscurile și legalitatea prelucrării.

Acest lucru este o provocare pentru DPO și se află în conflict direct cu intenția de a avea DPO ca organism independent în cadrul organizației, care să asigure practici solide de protecție a datelor. De asemenea, conflictul cu echipa de management și presiunea de a-și schimba poziția pot avea implicații psihologice semnificative în termeni de stres și satisfacție scăzută la locul de muncă.

Problema independenței DPO este cauzată, adesea, de două aspecte:

• neînțelegerea de către conducere a rolului DPO
• poziția, uneori inflexibilă a DPO, ceea ce face dificilă găsirea unei căi de urmat.

Conducerea tinde să privească DPO ca fiind “aproape” o extensie a funcției juridice, prin urmare, se așteaptă ca acesta să găsească argumente juridice care ar putea permite activități de prelucrare a datelor într-o “zona incertă” și este contrariată, sau chiar nemulțumită de poziția DPO când acesta exprimă îngrijorări sau chiar dă aviz negativ pentru anumite activități de prelucrare a datelor personale care nu sunt conforme cu prevederile GDPR. Cum explicam anterior, rolul DPO nu este de a găsi “portițe de scăpare” în Regulament pentru operator, ci de a oferi soluția cea mai corectă pentru respectarea principiilor protecției datelor cu caracter personal.

Cea mai bună modalitate de a rezolva această problemă este de a purta o discuție cu privire la rolul DPO înainte de apariția oricărui conflict. O întâlnire informală cu conducerea superioară unde DPO poate avea ocazia să explice conducerii avantajele independenței funcției sale care este benefică pentru toate părțile implicate: asigură soluții care generează încrederea clienților, îndeplinesc așteptările clienților, evaluează și diminuează riscurile, face verificări și asigură echilibrul, elaboreaza documentație - cu precizarea că elaborează doar documentația care cade în sarcina sa, conform prevederilor Regulamentului, sprijină operatorul în  îndeplinirea obligației sale de a respecta principiul responsabilității etc. Înțelegerea sau interpretarea greșită de către conducere a rolului DPO provine și din faptul că mulți DPO nu sunt suficient de bine pregătiți și nu cunosc suficient de bine care sunt limitele de competență ale rolului lor, ceea ce contribuie la apariția acestei confuzii de roluri. Acest impas poate fi depășit, pe de o parte prin munca individuala a DPO de a-și extinde experiența în domeniu, iar pe de alta parte de obligația operatorului de a pune la dispoziția DPO resursele pentru actualizarea cunoștințelor de specialitate ale acestuia, fie că este vorba despre achiziționarea de bibliografie în domeniu (cărți, reviste etc.), fie prin alocarea unui buget care sa-i permita participarea la cursuri de perfecționare, sau achiziția unui abonament la o platformă care conține bibliografie legislativă actualizată.

Cu toate acestea, DPO trebuie să înțeleagă că face parte dintr-o organizație care depinde de cunoștințele și îndrumările sale ca specialist în materie de gestionare a conformității. Prin urmare, considerăm că DPO are obligația de a căuta în mod activ soluții care să asigure un echilibru corect între soluționarea problemelor organizației și reducerea riscului pentru persoana vizată, fără ca acest lucru să blocheze activitatea organizației sau să încarce membrii acesteia cu sarcini suplimentare care să pună presiune suplimentară (și inutilă) pe aceștia. Chiar dacă nu este prevăzut în Regulament, DPO trebuie să-și asume și rolurile suplimentare de facilitator și chiar de mediator pentru a fluidiza activitatea organizației în efortul acesteia de a obține și de a menține un nivel ridicat de conformitate GDPR.

Pare ușor pentru un DPO să spună „nu” și să solicite întotdeauna mai mult în ceea ce privește securitatea și protecția datelor, dar valoarea reală, atât pentru organizație, cât și pentru persoana vizată este faptul că DPO poate ajuta la găsirea de soluții care să atenueze în mod adecvat riscurile activităților de prelucrare a datelor și reducerea lor la un nivel acceptabil. În cazul în care DPO se poate poziționa în mod recurent ca un ajutor în găsirea de soluții la probleme și nu doar ca un identificator de probleme, atunci probabil ca va primi sprijinul corespunzător din partea restului organizației. Operatorii ar trebui să fie conștienți de faptul că solicitările DPO de alocare de resurse suplimentare, uneori deloc de neglijat sub aspect financiar au scopul de a reduce inclusiv riscul unor sancțiuni în cazul producerii unei breșe de securitate. Este, deja, de notorietate faptul că amenzile pentru nerespectarea art. 32 din Regulament sunt bazate, de multe ori, pe faptul că operatorul nu va putea niciodată să demonstreze că a făcut suficient sau că “[...] implementează măsuri tehnice și organizatorice adecvate în vederea asigurării unui nivel de securitate corespunzător acestui risc [...]”, deoarece, oricâte eforturi ar face operatorul pentru obținerea conformității, faptul că breșa de securitate s-a produs este folosit ca justificare pentru a demonstra că nu a făcut suficient. Realitatea producerii breșei de securitate nu poate fi ștearsă sau ignorată nici de operator, nici de autoritatea de supraveghere.

Lipsa suportului managementului superior

Cele din urmă provocări cu care se confruntă DPO sunt rezistența din partea conducerii de a face modificările necesare pentru a aborda situația DPO. Principalul motiv pentru această reticență este că, uneori, conducerea nu are o înțelegere deplină atât a riscurilor, cât și a oportunităților ratate pe care le presupune configurarea ineficientă a protecţiei datelor.

În multe organizații, activitățile GDPR și managementul protecţiei datelor au fost gestionate ca un proiect de conformitate, la fel ca practicile și anticoncurențiale, spălarea banilor, programele anticorupție, etc. Cu toate acestea, domeniul protecţiei datelor reprezintă un exercițiu complet diferit și mult mai orientat către piață. Prelucrarea datelor este ceva de care companiile depind în mare măsură. Iar corupția și spălarea banilor sunt activități pe care companiile doresc să le evite.

Rolul vieții private nu poate fi abordat doar ca o activitate de conformitate. Trebuie luat în considerare din perspectiva pieței. Trebuie luat în considerare din perspectiva dezvoltării serviciilor. Trebuie luat în considerare din perspectivă organizațională. Deasemenea, este necesar să fie luate în considerare implicațiile financiare, tehnologice, de piață și de risc semnificative pentru a aborda pe deplin impactul acestuia. Acest lucru trebuie discutat la nivel strategic cu conducerea, unde DPO trebuie să ia în considerare protecția datelor companiei, apetitul la risc și nivelul de conformitate ale companiei.

În concluzie:

DPO are nevoie de conducere pentru a-l ajuta să reușească în misiunea sa, mai ales în încercarea rezolvării următoarelor probleme:

1. Creșterea gradului de conștientizare de către echipa de management cu privire la importanța rolului său în alinierea programului de protecţie a datelor organizației cu strategia și valorile sale
2. Derularea și implementarea unui proiect organizațional eficient care să permită DPO să preia un rol tactic
3. Alocarea clară a sarcinilor operaționale resurselor relevante din organizație
4. Creșterea gradului de conștientizare de către echipa de management cu privire la avantajele accesului DPO și al întregii organizații la instrumentele de lucru potrivite pentru gestionarea protecţiei datelor
5. Definirea clară a nivelului de maturitate pentru gestionarea proiectului organizațional
6. Creșterea gradului de conștientizare de către echipa de management cu privire la avantajele independenței DPO și respectarea activă a acestei independențe de către toți membrii organizației
7. Identificarea de soluții la provocările cu care se confruntă organizația (pe baza cunoștințelor, expertizei și experienței DPO cu rol activ și constructiv în a ajuta organizația să vadă oportunități și să exploreze noi căi de urmat)

Data de 10 noiembrie 2020 a fost marcată de un eveniment controversat, care a declanșat discuții între teoreticienii și practicienii din domeniul protecției datelor cu caracter personal, atât în spațiul public, cât și pe grupurile / în asociațiile/organizațiile de specialiști și a generat analize pe baza Regulamentului European 679/2016 și a viitorului activității DPO în România, evenimentul fiind reprezentat de o inițiativă legislativă depusă în Senat, cu caracter de urgență.

Proiectul de lege privind organizarea profesiei de responsabil cu protectia datelor cu caracter personal, înregistrat spre dezbatere cu Nr. B 653/2020 din 10 noiembrie a generat replici dure, critici și opoziții ferme, în primul rând din partea comunității specialiștilor în protectia datelor, în nume colectiv, cât și opinii independente. Aceste acțiuni nu s-au limitat doar la mediatizarea / diseminarea luării de poziție în mediul online, ci s-au materializat și prin obiecții trimise Senatului și comisiilor din cadrul acestuia, sesizări înaintate Avocatului Poporului, Consiliul Legislativ, cel Economic și Social, precum și altor instituții sau organisme a căror notificare a fost impusă de acest context. 

În cuprinsul acestui articol nu am încercat să subliniez aspectele care nu au fost respectate în ce privește tehnica legislativă pentru elaborarea actelor normative și nici modul precar de fundamentare a expunerii de motive prezentată de către inițiatorii acestui proiect de lege, deși acestea se regăsesc în proiect, însă, se impune precizarea că aceste puncte slabe reprezintă elementele inițiale suficiente pentru a se concluziona că proiectul de lege propus demonstrează o documentare insuficientă sub aspect GDPR, o necunoaștere adecvată a Legislației aplicabile în domeniul protecției datelor cu caracter personal și chiar necunoașterea punerii în practică a Regulamentului (UE) 679/2016 în România, atât la nivel instituțional cât și privat.

Pornind de la aceste ultime observații, proiectul de lege trebuie analizat din trei perspective:

• Prima perspectivă este dată de necesitatea, sau nu, a existenței unei legi care să reglementeze activitatea responsabilului cu protecția datelor cu caracter personal;
• A doua perspectivă face referire la modul în care se dorește, prin acest proiect, să fie coordonată și controlată activitatea responsabililor cu protecția datelor cu caracter personal, atât persoane fizice, prin constituirea unui așa numit Corp al responsabililor cu protecția datelor cu caracter personal;
• A treia perspectivă și nu neapărat ultima, este reprezentată de încălcările evidente ale Regulamentului UE 679/2016, ale Legii 190/2018 și legislației naționale incidente, cum ar fi Codul Muncii și Legea 31/1990 privind societățile comerciale.

Paradoxal, o primă contradicție privind oportunitatea adoptării unei astfel de legi o găsim chiar în “Expunerea de motive” a inițiatorilor legii, care face trimitere la cele două acte normative comunitare, Regulamentul 679/2016 și Directiva 680/2016 și la transpunerea acestora în legislația națională, prin Legea 190/2018, respectiv Legea 363/2018.

Astfel, în prezența celor două reglementări privind prelucrarea datelor cu caracter personal, dispoziții legale ce stabilesc, printre altele, limitele și sarcinile responsabilului cu protecția datelor cu caracter personal, ba, chiar mai mult decât atât - forma pe care o poate îmbracă această activitate fără posibilități de limitare sau interpretare națională, nu se poate adopta o lege specială care să contravină acestora sau să ocolească caracterul de obligativitate.

Al doilea argument solid în motivarea lipsei posibilității de punere în practică a acestei legi se regăsește, din nou într-un mod paradoxal, tot în textul redactat de inițiatori, de data aceasta în propunerea de lege, la Articolul 2, care precizează (chiar dacă într-un mod eronat privind tipul de contract) faptul că, în temeiul regulamentului european, responsabilul cu protecția datelor cu caracter personal poate fi și un operator extern (în sensul de persoană juridică), în baza unui contract, asupra căruia, însă, propunerea de lege nu a mai făcut mențiune în cuprinsul său, eludând astfel această activitate. Ori, lipsa prevederilor explicite în legătură cu această activitate prestată de o persoană juridică o pune în ilegalitate, deși ea este reglementată prin Regulamentul European. 

În aceeași ordine de idei, avocați din întreaga țară și-au exprimat, justificat, opoziția pentru această propunere de lege motivând, printre altele, excluderea lor din această activitate, în primul rând datorită tipului de contract indicat în proiect - contract comercial și nu contract de servicii cum prevede regulamentul și, în al doilea rând, prin încercarea de impunere a anumitor condiții privind studiile, experiența sau specialitatea - “Un responsabil cu protectia datelor trebuie sa fie un jurist specializat în tehnologie” în accepțiunea initțatorilor, altfel decât prevede regulamentul european.

Un aspect important prezent în opiniile critice și obiective citate regăsim și în amendamentul privind respectarea independenței responsabilului cu protectia datelor cu caracter personal, independență garantată prin articolele 37 și 38 din GDPR și care, în eventualitatea constituirii unui Corp profesional al responsabililor cu protectia datelor, așa cum se regăsește în proiect, prin includerea unor sancțiuni disciplinare, penale sau civile aplicabile acestor profesioniști, ar duce la încălcarea articolelor GDPR menționate anterior și ar conduce la însăși eliminarea principiului de obiectivitate necesar responsabilului cu protectia datelor cu caracter personal în toată practica sa pentru respectarea cerințelor Regulamentului (UE) 679/2016.

Fără a face o analiza a sintagmei Responsabil cu protecția datelor cu caracter personal vs. DPO - Ofițer cu protecția datelor, se cuvine să precizăm faptul că multe dintre reacțiile vehemente împotriva acestui proiect de lege sunt venite, pe bună dreptate, din partea responsabililor cu protecția datelor cu caracter personal desemnați la nivelul instituțiilor publice (sau private), care se văd constrânși să adere la un for superior de organizare a unei profesii, cu toate condițiile și procedurile ce decurg dintr-un astfel de proces de “certificare/autorizare”, deși ei prestează o activitate suplimentară, nu profesează în această “meserie”!

Diferențierea între activitate și profesie rezultă din mai multe prevederi ale Regulamentului 679/2016, din opinii ale Grupului de lucru “Articolul 29” sau interpelări făcute Autorităților de control și, în susținerea acestora, notăm faptul că în procedura de notificare a responsabilului cu protecția datelor cu caracter personal la Autoritatea națională de supraveghere - ANSPDCP există opțiunea de comunicare obligatorie, fie a unei persoane fizice, fie a unei persoane juridice atunci când a fost desemnat Responsabilul cu protectia datelor la nivelul entității declarante. Regulamentul 679/2016 prevede asumarea de către un responsabil cu protecția datelor cu caracter personal a funcției și sarcinilor atribuite de legiuitor și nu de deținerea unor competențe specifice unei calificări / profesii / meserii.

Nu putem să trecem cu vederea un deziderat probabil al acestui proiect, așa cum l-au identificat mulți opozanți ai acestuia, adică cel al constituirii unui “Corp al responsabililor” și să nu constatăm faptul că, la baza acestui proiect de lege stă ca sursă de inspirație “cu punct și virgulă” Ordonanta Nr. 65/1994 care reglementează organizarea și funcționarea activității contabililor și a Corpului Experților Contabili și Contabililor Autorizați din România.

Suntem, așadar, în fața unei transpuneri rigide a modului de funcționare al unui alt Corp profesional, imposibil de pus în practică și care este fără adaptare reală la domeniul protecției datelor cu caracter personal și la activitatea desfășurată de un DPO, fapt care îndreptățește contestarea aplicabilității unei viitoare legi în forma actuală a proiectului. 

În acest proces de redactare și înaintare spre aprobare în Senat, proiectul a prevăzut, în contradicție cu prevederile legale (subliniem în mod particular Legea 102/2005), că Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal - ANSPDCP va realiza activități de acreditare, organizare și avizare a constituirii și funcționării Corpului Responsabililor cu protecția datelor, fără ca inițiatorii proiectului de lege să consulte, în prealabil, această autoritate! Ca urmare a unei solicitări înaintate de către ASCPD - Asociaţia specialiştilor în confidenţialitate şi protecţia datelor autorității române de supraveghere, autoritatea a confirmat faptul că nu a fost consultată cu privire al acest proiect de lege și, mai mult decât atât, a considerat că sarcinile / atribuțiile care i-au fost stabilite în cadrul proiectului “Legii responsabilului cu protecția datelor” nu respectă prevederile Regulamentului (UE) 679/2016 și exced, totodată, competențelor sale.

Raportat la cele menționate anterior, este legitimă incertitudinea opiniei publice asupra cauzei unei astfel de erori. Să fie aceasta urmare a necunoașterii atribuțiilor autorității naționale de supraveghere, a regulamentului european privind protecția datelor personale și a legislației naționale în domeniu, sau reprezintă o încercare de imixtiune în activitatea acestei autorități? Nu știm, cel puțin în acest moment (17.11.2020 - n. a.), însă suntem îndreptățiți să punem în discuție forma actuală a acestei propuneri legislative. 

 Este important să avem în vedere, dacă tot facem referire la opinie, faptul că nu s-a evidențiat până la acest moment o reacție semnificativă a comunității responsabililor și specialiștilor implicați în protecția datelor personale (indiferent de aria de expertiză a fiecăruia), lucru care este pe deoparte îngrijorător dacă ne raportăm la existența unui număr de 11543 responsabili notificați către Autoritate până la începutul anului 2020; dar, este și de așteptat să urmeze abia de acum o creștere în urma mediatizării acestui proiect și a repercusiunilor sale. Pasivitatea în fața acestui proiect legislativ nu este nici binevenită,  nici potrivită mediului profesionist, nici constructivă și nici justificată moral.

Ca o concluzie, proiectul “Legii responsabilului cu protecția datelor” abundă de inadvertențe, de încălcări evidente ale altor legi și regulamente europene. Nu reiese de nicăieri caracterul de urgență al acestei legi, care face ca acest proiect să nu mai fie supus dezbaterii publice și, deși o propunere de lege se prezumă a fi un proiect care să reglementeze o nevoie, o stare de fapt sau un viciu legislativ, nu am reușit identificarea unor argumente solide, sau măcar minim fundamentate, care să susțină oportunitatea acestei legi.