Despre AUDIT în contextul GDPR

Editorial

Vizualizari: 7629

Facebooktwittergoogle_plusredditpinterestlinkedinmail

O scurtă definiție

AUDIT - Examinare profesională a unor informații cu scopul de a exprima o opinie responsabilă și independentă în raport cu un anumit standard.

În funcție de standard sau domeniul de aplicare se folosesc și alți termeni, cum ar fi: Evaluare, Examinare, Control, Expertiză, Inspecție, Verificare, Testare...

Deci, contrar opiniilor unor "experți", auditul NU este un "checklist" cu întrebări de genul "Nu-i așa că..." care trebuie bifat de către cei auditați.

Auditul este o unealtă indispensabilă unui DPO, pentru a evalua starea de conformare a organizației. Acesta este necesar atât la inceputul unui proces de conformare, periodic pentru a evalua starea de conformare dar și ca instrument pentru testarea eficacității măsurilor implementate, activitate specificată în GDPR, fără de care măsurile luate sunt aproape inutile.

În funcție de scopul, obiectul și standardul de referință al auditului, există mai multe metode de desfășurare a acestei activități. Protecția datelor cu caracter personal fiind un domeniu multidisciplinar, cu multe standarde, metodologii sau legi nationale aplicabile, în afara GDPR (COSO/COBIT, ISO 9001, ISO 27001, ISO 31000, CMMI, 3LoD, GRC, PMP, Legea 190/2018, Legea 333/2003, Legea 506/2004, Ord. 600...) și metodele, tehnicile și mijloacele de audit sunt multiple.

De asemenea, în general nu este eficient ca o singură funcțiune să auditeze toate domeniile și procesele. Pentru aceasta pot fi, de fapt ar trebui să fie, folosite și funcțiunile de control existente, acolo unde ele există și/sau raportările periodice către management.

Metode sau tehnici de audit

  • În mare tehnicile de audit sunt: Prin observație directă, Prin interviuri cu persoanele responsabile/ implicate, Prin analize sociologice ale părerii beneficiarilor, Prin analiza de documente sau livrabile, Prin monitorizarea directă a performanțelor unui proces.

Gradul de precizie al evaluării depinde atât de tehnica utilizată în audit, cât și de experiența auditorului în domeniul auditat, tehnologiile utilizate in prelucrarea datelor... În practică acestea sunt rareori folosite independent, de obicei utilizându-se mai multe tehnici diferite în cadrul aceleeași acțiuni, în vederea crețterii gradului de încredere în rezultatele auditului.

Din punct de vedere al tehnicilor folosite, observația directă și interviurile sunt cele mai dependente de experiența auditorului, analiza documentelor și livrabilelor fiind tehnici cu grad mai mare de încredere, dar dependente de alegerea/ eșantionarea cazurilor ce vor fi analizate, aceste tehnici neputând acoperi toate cazurile.

Monitorizarea directă a preformanțelor unui proces, necesită implementarea prealabilă a unor mecanisme de măsurare, pe cât posibil automatizate, definirea obiectivelor si a indicatorilor de performanță potriviți pentru a măsura eficacitatea și/sau eficiența proceselor monitorizate. De asemenea, este foarte importantă vizibilitatea rezultatelor, prin raportarea acestora în timp real către factorii de decizie.

Acestea sunt întotdeauna urmate de o analiză a informațiilor colectate, având ca rezultat o opinie despre gradul de conformare la standardele de referință, iar în cazul deviațiilor de la acestea, se vor formula recomandări în vederea conformării.

Selectarea tehnicilor de audit cele mai potrivite

În funcție de complexitatea organizației, a proceselor și sistemelor folosite, precum și a cunoștințelor și resurselor necesare se alege cea mai bună variantă posibilă. Important este ca fiecare domeniu, proces să fie auditat, intr-un fel sau altul, periodic.

Evident pe prioritizarea este importantă, domeniile cu risc mare, ca probabilitate de a fi afectate sau ca impact, fiind cele către care ar trebui alocată căt mai multă atenție.

Condițiile inițiale, cultura organizațională

  • Existența documentării structurii organizației, a responsabilităților departamentelor
  • Existența documentării prelucrărilor, a mijloacelor de prelucrare și a datelor prelucrate
  • Existența documentării controalelor existente relevante peentru GDPR
  • Documentarea și comunicarea criteriilor de referință ce vor fi utilizate în audit
  • Defnirea modului de colaborare cu alte funcțiuni implicate in activități de control și monitorizare

Criterii de selecție

  • Importanța procesului auditat (și sau riscul acestuita)
  • Scopul auditului
  • Aria de cuprindere și standardul de referință
  • Cultura organizațională
  • Resursele (umane și tehnologice) existente
  • Experiența auditorului în domeniul analizat
  • Existența unor monitorizări sau audituri specializate

Pași de urmat în cadrul unui audit

1.      Stabilirea scopului, a ariei de acoperire (departamente, procese, controale...)

2.      Stabilirea standardelor de referință și a criteriilor de evaluare a conformității

3.      Selectarea tehnicilor de audit pentru fiecare control

4.      Planificarea auditului

5.      Colectarea informațiilor

6.      Analiza informațiilor și formarea unei opinii profesionale, urmate de recomandări unde este cazul

7.      Validarea opiniei profesionale cu cei implicați

8.      Raportul de audit

9.      Monitorizarea aplicării recomandărilor

Bune practici (din experiența personală)

Primul criteriu al unui audit este asigurarea că există un proces urmat, ceea ce înseamnă un set de reguli generale urmat de toți cei implicați în proces. Faptul că prelucrarea se face diferit de către fiecare executant sau grupe de executanți, în funcție de experiența personală, denotă lipsa unui proces.

Scopul unui audit ar trebui să fie nu doar evaluarea documentării unui proces, ci în special modul efectiv de aplicare al procesului auditat. Modul în care se respectă documentarea sau modul în care se documentează activitatea sunt doar criterii secundare. De (prea) multe ori procesul efectiv de prelucrare este diferit de cel formal (oficial).

De avut în vedere că de obicei un audit este un proces incremental. În funcție de rezultatele obținute în prima rundă planificată este posibil să fie identificate noi nevoi de audit, poate cu noi tehnici, noi mijloace și noi obiective.

Inconsistențele între procesul fomal și prelucrările de fapt sau între rezultatele obținute la interviuri și evidențele , înregistrările sau monitorizările, raportările despre aceste procese sunt un semnal de alarmă și un indicator că auditul trebuie aprofundat.

Un alt aspect de avut în vedere este tratarea excepțiilor. În orice proces definit există excepții ce nu pot fi documentate (sau care nu merită efortul) dar modul de tratare a lor trebuie definit (de obicei acestea fiind în atribuțiile șefului). Merită analizată și frecvența aestor excepții, astfel încât acestea să nu devină reguli.

Un criteriu important în audit, în special pentru GDPR, este existența evidențelor. Lipsa de evidențe (înregistrări ale acțiunilor întreprinse) face imposibilă evaluarea obiectivă a prelucrărilor și demonstrarea acestora, cerință obligatorie conform GDPR. Cauza cea mai des întâlnită este neînregistrarea evenimentelor când au avut loc, cu intenția de a documenta mai tîrziu.... dacă se consideră necesar... și dacă se găsește timp.

În vederea creșterii eficienței și a gradului de încredere este necesară analiza anterioară a monitorizărilor deja existente, a rezultatelor altor forme de audit. Pentru domenii specializate din cadrul unei organizații ( de exemplu IT/ securitate) este o practică întâlnită și recomandabilă de a utiliza rezultatele unor audituri specializate, la care se poate adăuga doar analiza unor cerințe specifice (GDPR) care nu sunt adresate de către auditul specializat. De asemenea efectuarea de audituri împreună cu alte funcții implicate în monitorizarea proceselor aduce o valoare adaugată foarte mare.

INTRA ACUM în grupul WhatsApp "Comunitatea Dpo-NET.ro"!


Iți plac articolele dpo-NET.ro? Poți fi la curent cu toate aceste noutăți dacă ne urmărești zilnic pe paginile noastre de LinkedIn sau Facebook. 


Acest articol este protejat de către dispoziţiile legale incidente și este interzisă copierea, reproducerea, recompilarea, modificarea, precum şi orice modalitate de exploatare a acestuia. Articolele publicate pe DPO-NET.RO pot fi preluate doar în limita a maxim 500 de caractere, fără a depăşi jumătate din totalul de caractere, şi cu citarea obligatorie a sursei, cu link activ. Orice abatere de la această regulă constituie o încălcare a Legii 8/1996 privind dreptul de autor. Dacă sunteţi interesaţi de preluarea ştirilor și articolelor publicate pe DPO-NET.RO, vă rugăm să ne contactati.

A măsura sau a nu măsura temperatura? Aceasta este întrebarea …

Editorial

Vizualizari: 8625

Facebooktwittergoogle_plusredditpinterestlinkedinmail

Mare agitație în aceasta frumoasă dimineață de 15 mai 2020. Au fost publicate pe site-ul Ministerului Afacerilor Interne măsurile de prevenire și control a infecțiilor aplicabile pe durata stării de alertă în cadrul unei anexe la Hotararea CNSSU 24/14.05.2020. In plus, Ordinul 3577/831/2020 emis de Ministerul Muncii si Protectiei Sociale si de Ministerul Sanatatii prevede ca angajatorul are obligatia sa desemneze un responsabil pentru verificarea temperaturii tuturor persoanelor care intră în unitate/instituţie si sa asigure triajul observaţional al angajaţilor prin verificarea temperaturii acestora la începerea programului de lucru şi ori de câte ori este necesar pe parcursul programului. Conform aceluiasi document, pe durata stării de alertă, pentru prevenirea răspândirii COVID-19, toţi angajaţii din sectorul public şi privat au obligaţia sa accepte verificarea temperaturii corporale la intrarea în sediu, la începutul programului şi ori de câte ori revin în sediu.

Dacă în țări europene, precum Belgia, Olanda și Franța, măsurarea temperaturii ca indicator al unei posibile infectări cu virusul SARS-Cov-2 este interzisă, în România această practică tocmai a devenit obligație legală pentru instituțiile și autoritățile publice, precum și operatorii economici publici și privați, altfel spus pentru toți operatorii care își desfășoară activitatea în incinte închise.

Din punct de vedere al prelucrării datelor cu caracter personal, în România, prelucrarea acestor date de face în regim de legalitate, fiind o obligație legală începând de azi. Dar, chiar dacă nu mai avem stresul identificării temeiului legal, această prelucrare trebuie să țină cont și să respecte principiile și obligațiile impuse de GDPR (principiul confidentialitatii, principiul transparentei, principiul minimalizarii si obligatia protectiei datelor de catre operator prin implementarea măsurilor tehnice si organizatorice adecvate ).

Măsurarea temperaturii angajaților

Toți operatorii care desfășoară activitate în spații închise, pe perioada stării de alertă, au obligația conform art. 2 (a) să "asigurare triajul epidemiologic constând în controlul temperaturii personalului propriu și a vizitatorilor, la punctele de control-acces în incinte". Practic, deducem de aici că la intrarea în incintă personal specializat (medic, asitent medical) sau instruit (portar, responsabil numit) va măsura temperatura și va condiționa accesul în incintă. Dacă vorbim de "triajul epidemiologic" care va cuprinde și verificarea altor indicatori decât temperatura, prelucrarea acestor informații se va face obligatoriu de către un cadrul medical, respectând confidențialitatea.

Ca o măsură organizatorică adecvată, recomandăm utilizarea unui tabel nominal care să conțină numele angajatului și dacă temperatura măsurată este sub 37,3 grade, sa se facă un simplu semn de tip "bifă", fără a nota valoarea măsurată și să îi fie permis accesul. Această listă ar trebui să fie păstrată într-o mapă închisă, accesul la aceasta fiind restricționat doar unui grup restrâns de persoane, în mod justificat. La finalul turei personalului specializat sau instruit care desfășoară aceste măsurători, această listă va fi predată unui responsabil unic cu arhivarea și păstrată pentru un termen de maxim 30 de zile, fiind pusă la dispoziția autorităților care realizează anchete epidemiologice, dacă este cazul.

Ca o măsură organizatorică adecvată, recomandam utilizarea numărului de marcă în locul numelui și prenumelui, instituind astfel o metodă de prelucrarea a datelor pseudoanonimizate și reducând nivelul de risc în cazul unei breșe de securitate prin accesarea datelor de către o persoană neautorizata. 

În cazul în care, temperatura măsurată depășește valoarea de 37,3 grade, personalul specializat sau instruit va interzice accesul angajatului în incintă, va nota în dreptul numelui valoarea măsurată ( eventual se va repeta manevra de măsurare pentru a elimina pe cât posibil erorile de măsurare).

Cea mai mare provocare este modul în care se pot realiza aceste măsurători în condiții de confidențialitate, asigurând astfel și dreptul la intimitate. Fiind o obligație legală, operatorul va putea efectua triajul epidemiologic constând în controlul temperaturii personalului propriu și fără a asigura dreptul al intimitate, dacă se face dovada că acest lucru este imposibil de realizat. În cazul în care măsurarea temperaturii se face prin metode automatizate, nu prin utilizarea termometrelor contactless, se va face o informare prealabila a persoanelor vizate prin afisarea pictogramelor standard, termenul de stocare este de maxim 30 de zile, accesul la înregistrări fiind limitat la persoanele special împuternicite de operator.

Măsurarea temperaturii vizitatorilor

Conform art. 2(a) obligațiile operatorilor care desfășoară activitate în spații închise, pe perioada stării de alertă, de a"asigurara triajul epidemiologic constând în controlul temperaturii" se aplică și vizitatorilor. În cazul lor, există un registru în care portarul completează datele de identificare și persoana vizitată. Recomandăm să nu fie schimbat scopul acestui registru prin completarea temperaturii. În schimb, se va utiliza un tabel nominal distinct care să conțină numele vizitatorului și dacă temperatura măsurată este sub 37,3 grade sa va face un simplu semn de tip "bifă", fără a se nota valoarea măsurată și să îi va fi permis accesul în incintă. Și în cazul acestei liste, ar trebui să fie păstrată în mod obligatoriu într-o mapă închisă, accesul la aceasta fiind restricționat doar unui grup restrâns de persoane, în mod justificat. La finalul turei personalului specializat sau instruit care desfășoară aceste măsurători, această listă va fi predată unui responsabil unic cu arhivarea și păstrată pentru un termen de maxim 30 de zile. În cazul în care măsurarea temperaturii se face prin metode automatizate, nu prin utilizarea termometrelor contactless, termenul de stocare este de asemenea de maxim 30 de zile, accesul la înregistrări fiind limitat la persoanele special împuternicite de operator.

În cazul în care, temperatura măsurată depășește valoarea de 37,3 grade, personalul specializat sau instruit va interzice accesul vizitatorului  în incintă astfel că nu mai este necesară înregistrarea numelui sau a oricărei alte informații în registrul de vizitatori sau in tabelul nominal privind verificarea temperaturii. 

Măsurarea temperaturii clieților

În cazul acestor persoane se aplică Art. 3 conform căruia instituțiile publice și operatorii economici care desfășoară activități comerciale/de lucru cu publicul ce implică accesul persoanelor în interiorul clădirilor sunt obligate să nu permită accesul persoanelor a căror temperatură corporală, măsurată la intrarea în incintă, depășește 37,30C. Observăm că în acest caz nu se face referite la "triaj epidemiologic" astfel că măsurarea temperaturii este folosită ca un sistem de alertare și recomandăm să nu înregistrați sub nici o formă valoarea temperaturii. Aceste măsurători se vor face la intrarea în incintă, fiind condiționat accesul de o valoare mai mică decăt 37,3 grade. În cazul în care temperatura depășește această valoare, operatorul are posibilitatea de a înregistra zilnic anonimizat numarul persoanelor cărora le-a fost refuzat accesul, ca o dovadă a responsabilității față de măsurile publicate de autorități. În cazul în care măsurarea temperaturii se face prin metode automatizate, nu prin utilizarea termometrelor contactless, se va face o informare prealabila a persoanelor vizate prin afisarea pictogramelor standard, termenul de stocare este de maxim 30 de zile, accesul la înregistrări fiind limitat la persoanele special împuternicite de operator.

Totuși, ținând cont că aceste măsurători se vor face la intrarea în incintă cel mai probabil cu un termometru contactless, credem că va fi aproape imposibilă, în acest caz, asigurarea confidențialității și a dreptului la intimitate. Vom asista probabil cum clienții vor sta la rând și personalul desemnat de operator va face aceste măsurători, având în vedere obligația legală, fără a asigura confidențialitatea.

Concluzii

Operatorii nu au obligația de a anunța autoritățile privind identitatea persoanelor a căror temperatură măsurată la intrarea încintă depășește valoarea de 37,3 grade, astfel că, în cazul angajaților, considerăm suficientă arhivarea pentru un termen de maxim 30 de zile a înregistrărilor, fie că se fac pe suport de hârtie, electronic sau suprapuse peste imaginile video.

În cazul vizitatorilor și a clienților, nu există obligația identificării persoanelor cărora nu li se permite accesul în incintă în urma unei măsurători a temperaturii care depășește 37,3 grade. În cazul vizitatorilor cu valoarea măsurată sub 37,3 grade, va fi identificată persoana conform procedurii de acces vechi, ținându-se o evidență distinctă a acestor măsurători, fără a înregistra valoarea temperaturii.

În cazul clienților, aceștia nu vor fi identificați și înregistrați în lipsa unei obligații legale sau a unui interes legitim dovedit.

Operatorii vor avea o procedură scrisă actualizată privind accesul în incintă după data de 15 mai 2020, persoanele care vor realiza aceste măsurători fiind instruite în mod special privind protecția acestor informații din punct de vedere tehnic și organizatoric.

 

INTRA ACUM în grupul WhatsApp "Comunitatea Dpo-NET.ro"!


Iți plac articolele dpo-NET.ro? Poți fi la curent cu toate aceste noutăți dacă ne urmărești zilnic pe paginile noastre de LinkedIn sau Facebook. 


Acest articol este protejat de către dispoziţiile legale incidente și este interzisă copierea, reproducerea, recompilarea, modificarea, precum şi orice modalitate de exploatare a acestuia. Articolele publicate pe DPO-NET.RO pot fi preluate doar în limita a maxim 500 de caractere, fără a depăşi jumătate din totalul de caractere, şi cu citarea obligatorie a sursei, cu link activ. Orice abatere de la această regulă constituie o încălcare a Legii 8/1996 privind dreptul de autor. Dacă sunteţi interesaţi de preluarea ştirilor și articolelor publicate pe DPO-NET.RO, vă rugăm să ne contactati.

Specialiștii în protecția datelor personale sar în ajutorul cadrelor didactice implicate în învățământul on-line

Editorial

Vizualizari: 8825

Facebooktwittergoogle_plusredditpinterestlinkedinmail

Un grup de patru specialiști în domeniul protecției datelor, autorii volumului GDPR Aplicat, vin în sprijinul celor interesați și implicați direct în procesul de învățământ on-line în România publicând o serie de precizări, avertismente și recomandări, pentru ca dreptul fundamental al persoanelor la protecția datelor cu caracter personal să fie respectat și în condiții de pandemie.

" În contextul epidemiologic actual, întreaga societate umană, în tot ansamblul ei, și-a modificat substanțial anumite comportamente sociale și s-a adaptat la acest context activitățile care nu se pot întrerupe,  indiferent de situație.Una dintre aceste activități este și cea de învățământ, care a trebuit să se adapteze și a suferit modificări semnificative în modul de desfășurare a actului educațional. Aceste modificări au surprins nepregătite, din punct de vedere tehnic și organizatoric, aproape toate țările, inclusiv România. Pentru rezolvarea acestor probleme, din punct de vedere tehnic și organizatoric, țările afectate s-au mobilizat și au adoptat anumite măsuri, inclusiv legislative iar, pentru România, amintim Ordinul 4135/21.04.2020 de aprobare a Instrucțiunii privind asigurarea continuității procesului de învățare la nivelul sistemului de învățământ preuniversitar.", au afirmat autorii.

Marius Florian Dan, Daniela-Irina Cireașă, Cătălina Lungu și Daniela Simionovici au lucrat împreună la acest set de recomandări care subliniază, încă o dată, complexitatea efortului oricărui operator, de a asigura conformitatea cu principiile GDPR, mai ales în situația utilizării unor tehnologii noi. Ghidul de propus de aceștia, conține patru secțiuni:

  • Principii generale de prelucrare a datelor
  • Recomandări minimale privind desfășurarea procesului de învățământ online în condiții de securitate / protecție a datelor personale
  • Recomandări minimale privind protecția datelor cu caracter personal pentru sesiunile de lucru online
  • Recomandări minimale privind protecția datelor cu caracter personal pentru conducătorii instituțiilor de învățământ și pentru Responsabilii cu protecția datelor cu caracter personal

Persoanele interesate pot intra în contact cu autorii acestui ghid, prin intermediul acestei pagini Facebook sau prin e-mail: contact@gdpraplicat.ro

Care sunt principile fundamentale care se aplică în procesul de învățământ on-line?

  1. Limitarea scopului – nu se folosesc datele personale colectate cu acest prilej, în alte scopuri decât cel declarat, respectiv organizarea și desfășurarea activităților pentru învățarea on-line / evaluarea calității procesului de învățare on-line.
  2. Minimizarea datelor – nu se prelucrează mai multe date personale decât cele strict necesare pentru atingerea scopului declarat.
  3. Transparența prelucrărilor – datele personale care sunt prelucrate în cadrul procesului on-line de desfășurare a învățământului, mijloacele de prelucrare a acestora, precum și destinatarii datelor utilizate în proces sunt aduse la cunoștința elevilor și/sau a părintelui, în mod clar, explicit și transparent.
  4. Integritate și confidențialitate – obligația de confidențialitate este valabilă atât pentru profesori, cât și pentru elevi (se va face instruirea elevilor cu privire la diseminarea datelor cu caracter personal și posibilele consecințe, si se va interzice acestora diseminarea datelor personale ale colegilor, de ex. teme completate, sesiuni de lucru conținând comentarii, etc.), dar și pentru părinții / reprezentanții legali ai copiilor.
  5. Responsabilitate – procesele se documentează pentru a putea proba la nevoie respectarea principiilor GDPR și a măsurilor de securitate și, pe cât posibil, dovezile vor conține date cu caracter personal cât mai puține și mai puțin intruzive – ex. dacă este suficient un document scris din partea profesorului ca dovadă a respectării programei de învățământ / orarului / prezenței elevilor, se va evita folosirea fotografiilor sau filmărilor din timpul lecțiilor on-line. Se vor cere clarificări directorilor școlilor / grădinițelor / creșelor și inspectoratelor școlare legat de tipul de dovezi acceptate. Dacă nu ați numit până acum un DPO, este timpul!!! Pentru profesori, recomandarea noastră este să nu demarați procesul de învățare on-line fără a fi instruiți / reinstruiți de către specialistul IT și de către DPO.
  6. Perioadă limitată de stocare – stocarea datelor personale se va face pe o durată de timp strict necesară atingerii scopului declarat și se va determina cât mai exact, funcție de dispozitivul folosit pentru desfășurarea procesului de învățare on-line, de aplicația pe care se desfășoară lecțiile și de precizările directorilor / inspectoratelor școlare.

 Recomandări minimale privind desfășurarea procesului de învățământ online în condiții de securitate / protecție a datelor personale

  • Utilizarea unui singur terminal (calculator / tabletă / telefon), devirusat, parolat, echipat cu elemente de siguranță (minim antivirus actualizat), de preferat cu un sistem de operare licențiat și actualizat;
  • Terminalul de lucru (calculator / tabletă / telefon) nu va fi folosit în această perioadă pentru alte activități (extrașcolare);
  • Terminalul de lucru (calculator / laptop / tabletă / telefon) va fi folosit doar cu softul educațional / platforma educațională utilizate de clasa respectivă și aflate pe lista aplicațiilor agreate / validate de Ministerul Educației și Cercetării (https://digital.educred.ro/#h.cjuhzoxfo0hb), preinstalat de către părinte și configurat pe contul de lucru al copilului;
  • Contul de lucru al elevului de pe calculator / laptop, precum și tableta / telefonul de pe care elevul participă la procesul de învățământ on-line trebuie să fie restricționat la instalări de software nou, fără licență sau din surse nesigure sau la stocare de date personale în afara spațiului comun unde se pot salva atât materialele de curs, cât și ciornele;
  • Acolo unde este posibil, profesorii vor crea pe calculatorul personal un cont de utilizator special dedicat desfășurării procesului de învățare on-line, cont care va fi securizat și parolat corespunzător.
  • La nivelul școlilor se va elabora și se va implementa, de către toți participanții la procesul de învățare on-line, procedura privind utilizarea echipamentelor personale în scop profesional (BYOD – „Bring your own device”).
  • Gestionarea cu responsabilitate a listelor cu numele și adresele de email ale elevilor, asigurându-le măsuri adecvate de securitate. Nu se vor transmite aceste liste pe spațiul comun de lucru cu elevii și părinții și nici pe rețelele de socializare!
  • Lista cu numele elevilor participanți, asociată la imaginile de conectare pe platformele de învățare va conține doar prenumele elevului. Listele ce conțin datele de contact ale elevilor constituie adevărate baze de date cu caracter personal, nu se partajează, nu se trimit în mod nesecurizat și nici altor destinatari, precum grupuri de profesori / părinți de pe rețelele de socializare. Aceste liste nu se salvează în niciun format (document text în format electronic / pe suport de hârtie sau sub formă de capturi de ecran) și nici pe medii externe de stocare (HDD extern, memorii USB) fără a se securiza atât conținutul cât și echipamentul;
  • Școlile vor realiza informarea profesorilor / elevilor / părinților punând la dispoziția acestora toate informațiile prevăzute de art. 13 din Regulamentul 679/2016 (scopurile și temeiurile prelucrărilor de date personale, destinatarii datelor cu caracter personal, perioada de stocare a datelor personale, drepturile persoanelor vizate și modalitățile de exercitare a acestora etc.);
  • Evaluările și notele se vor acorda în conformitate cu instrucțiunile Ministerul Educației și Cercetării / Inspectoratului Școlar Județean, evitând publicarea notelor tuturor elevilor în spațiul virtual comun. Este obligatorie și instruirea cadrelor didactice privind operațiunile de prelucrare admise, respectiv interzise.

Recomandări minimale privind protecția datelor cu caracter personal pentru sesiunile de lucru online

  • Pentru desfășurarea activității de învățământ on-line se vor folosi doar aplicațiile / platformele de e-learning și resursele de învățare on-line asigurate și, după caz, validate și recomandate de Ministerul Educației și Cercetării (art. 3, alin. 1 din Ordinul 4135/21.04.2020 de aprobare a Instrucțiunii privind asigurarea continuității procesului de învățare la nivelul sistemului de învățământ preuniversitar);
  • Prealabil stabilirii platformei agreate pentru desfășurarea procesului de învățământ on-line se citește documentul „Termeni și condiții” al aplicației; permisiunile aplicației se selectează în funcție de stricta lor necesitate pentru funcționarea aplicației (dacă nu e nevoie de acces la galeria foto, agenda telefonică, accesarea locației GPS, atunci aceste facilități ale aplicației, dacă există, nu se permit / se dezactivează). La programarea unei sesiuni de educație, se setează funcțiile de securitate ale platformei utilizate: ID conferință, parolă de acces, blocare acces neautorizat etc.;
  • Construirea dovezilor (pontajelor / listelor de prezență) privind participarea profesorilor / elevilor la activitățile de învățare on-line se va face respectând principiul reducerii la minimum a datelor și se vor identifica mijloacele minim intruzive pentru realizarea acestora (ex.: ar fi suficientă o captură de ecran la unele comentarii / posturi ale profesorului pentru a demonstra prezența sa pe platforma de învățare și nu de capturi de ecran / fotografii / înregistrări audio-video ale lecției, folosind Whatsapp, Facebook sau ZOOM);
  • Pentru transferul datelor cu caracter personal (teme de lucru, evaluări, rapoarte, dovezi ale prezenței profesorilor și elevilor la activitățile de învățare on-line) NU recomandăm utilizarea platformelor / aplicațiilor Whatsapp, Facebook, ZOOM sau orice aplicație care nu prezintă garanții de securitate la transfer a datelor personale;
  • Școlile vor implementa orice măsuri tehnice și organizatorice de securitate pentru a garanta stocarea datelor personale colectate în procesul de învățare on-line în condiții de siguranță privind pierderea, distrugerea, accesarea acestora de către persoane neautorizate etc.;
  • Școlile vor lua măsuri pentru instruirea profesorilor, elevilor și părinților cu privire la diseminarea datelor cu caracter personal către persoane / entități neautorizate și posibilele consecințe / riscuri pentru drepturile și libertățile persoanelor vizate;
  • Școlile vor lua măsuri pentru instruirea profesorilor, elevilor și părinților cu privire la interdicția de a disemina date ale profesorilor, colegilor și părinților (de ex. teme completate, sesiuni de lucru conținând comentarii, evaluări etc.);
  • Pentru conectarea pe platforma de învățământ on-line, NU vor fi utilizate adrese de public mailing (yahoo, gmail, etc.), ci doar adrese de mail aflate în proprietatea operatorului de date (unitatea de învățământ)!
  • Adresele de email, nr. de telefon sau orice alte date personale strict necesare desfășurării procesului de învățământ on-line se transmit profesorului printr-un mijloc de comunicare cât mai sigur și în mod individual (nu se postează pe un grup) și se securizează. Se va evita, pe cât posibil, trimiterea prin email de tip yahoo sau gmail a datelor cu caracter personal. Se vor utiliza adresele de email create / puse la dispoziție de școli;
  • Invitația de participare la sesiunile de învățământ / lecții on-line care conține link-ul de conectare, ID sesiune și parolă se trimite pe un canal sigur de comunicare;
  • Video-conferințele / lecțiile cu participare audio-video, de principiu nu se înregistrează. În cazul în care se dorește să se înregistreze o anumită lecție pentru a fi disponibilă online (de pildă elevilor absenți la momentul lecției), se recomandă să se dezactiveze imaginile video. Nu se permite înregistrarea video-conferinței / lecției cu participare audio-video de către participanți;
  • Nu se va închide sesiunea de lucru până nu vă asigurați, mai întâi, că toți participanții s-au deconectat de la platformă;
  • Evaluarea și prezența copiilor nu vor fi făcute publice.

Recomandări minimale privind protecția datelor cu caracter personal pentru conducătorii instituțiilor de învățământ și pentru Responsabilii cu protecția datelor cu caracter personal

Având în vedere prevederile art. 16 din Ordinul 4135/21.04.2020 de aprobare a Instrucțiunii privind asigurarea continuității procesului de învățare la nivelul sistemului de învățământ preuniversitar, vă recomandăm să respectați cel puțin următoarele:

  • Asigurați-vă că prelucrarea datelor cu caracter personal se face cu respectarea principiilor prelucrării datelor cu caracter personal, conform prevederilor art. 5 din Regulamentul 679/2016;
  • Asigurați-vă că respectați drepturile persoanelor vizate, conform prevederilor 7, art. 13, art. 15-18, art. 21-22 și art. 34 din Regulamentul 679/2016;
  • Asigurați-vă că evidențele activităților de prelucrare sunt actualizate corespunzător si respectă întocmai cerințele art. 30 din Regulamentul 679/2016;
  • Asigurați-vă că respectați securitatea prelucrării datelor personale, conform prevederilor art. 32 din Regulamentul 679/2016;
  • Elaborați și implementați proceduri specifice privind Notificarea autorității de supraveghere în cazul încălcării securității datelor cu caracter personal, conform prevederilor art. 33 din Regulamentul 679/2016;
  • Efectuați o evaluare a impactului asupra protecției datelor, ori de câte ori un tip de prelucrare, în special cel bazat pe utilizarea noilor tehnologii, este susceptibil să genereze un risc, conform prevederilor art. 35 din Regulamentul 679/2016;
  • Consultați Autoritatea de supraveghere înainte de prelucrarea datelor personale, atunci când evaluarea impactului asupra protecției datelor prevăzută la articolul 35 indică faptul că prelucrarea ar genera un risc ridicat în absența unor măsuri luate de operator pentru atenuarea riscului, conform prevederilor art. 35 din Regulamentul 679/2016.

Sintact.ro

Partenerii noștrii de la Sintact.ro, platforma juridică cu cel mai vast conținut din România, ne-au anunțat că au indexat de curând în baza de date tot conținutul volumului GDPR Aplicat.
În prezent, Sintact.ro contine peste 13 milioane de hotărâri judecătorești, 23.000 de articole din 9 reviste de specialitate, peste 200 de cărți de doctrină juridică și peste 90 de comentarii de autor.
Wolters Kluwer România oferă acces gratuit la platforma de documentare juridică pentru toți cititorii DPO-Net.ro. Puteți să activați contul demo pentru o perioadă de 30 de zile accesând link-ul:  https://demo.sintact.ro/?utm_source=DPOweb

 

INTRA ACUM în grupul WhatsApp "Comunitatea Dpo-NET.ro"!


Iți plac articolele dpo-NET.ro? Poți fi la curent cu toate aceste noutăți dacă ne urmărești zilnic pe paginile noastre de LinkedIn sau Facebook. 


Acest articol este protejat de către dispoziţiile legale incidente și este interzisă copierea, reproducerea, recompilarea, modificarea, precum şi orice modalitate de exploatare a acestuia. Articolele publicate pe DPO-NET.RO pot fi preluate doar în limita a maxim 500 de caractere, fără a depăşi jumătate din totalul de caractere, şi cu citarea obligatorie a sursei, cu link activ. Orice abatere de la această regulă constituie o încălcare a Legii 8/1996 privind dreptul de autor. Dacă sunteţi interesaţi de preluarea ştirilor și articolelor publicate pe DPO-NET.RO, vă rugăm să ne contactati.

Alexandru Luca: În acest context, digitalizarea nu este o noutate, este mai mult o oportunitate

Alexandru Luca, în prezent Mobile Division Manager – Cybersecurity BU in cadrul comapaniei certSIGN, are o experiență de peste 15 ani în domeniul IT&C, asumându-și roluri cheie în […]

La ce clauze contractuale vom fi mai atenți de acum în colo ?

Epidemiile, la fel ca războaiele, reprezintă situații care ne găsesc întotdeauna nepregătiți pentru a gestiona efectele complexe ale acestora. Consecința de lungă durată a acestora, după impactul psiho-emoțional, […]

Publicitatea declarației de căsătorie și respectarea principiilor GDPR

Scrieți pe Google „publicație starea civilă”, selectați modul „imagini” și observați rezultatul…Poate chiar vă regăsiți numele pe internet, alături de soțul/soția de atunci sau (încă) din prezent. Ne […]

GDPR se aplică și în timpul pandemiei COVID-19

GDPR se aplică chiar dacă pe timp de pandemie operatorilor de telefonie mobilă le-a fost solicitat de autorități să comunice anumite date pentru a ajuta la reducerea răspândirii […]

Pandemia Covid-19 a impus maturizarea forțată a societății românești

Nimic nu va mai fi ca înainte. Societatea în care trăim s-a schimbat deja, fiind supusă la unul din cele mai dificile teste de stres. Frica este cea […]

Hai să facem împreună analiza unei tentative de phishing

Cred că nu ne preocupă îndeajuns de mult o realitate infracțională care capătă proporții sub ochii noștri, fără a sesiza impactul pe care îl are asupra vieților noastre […]

Fenomenul FAKENEWS pierdut de sub control. „Spălați-vă mâinile, nu creierele!”

Acum câteva zile am citit întâmplător pe Fecebook un îndemn, „Spălați-vă mâinile, nu creierele!”. Acesta a fost și momentul în care am realizat că fenomenul Fakenews în România […]

Participa la DPO TOOLS Workshop – 23 / 24 Martie 2020 – „Mobilitatea, o provocare pentru aplicarea GDPR”

La nivelul dispozitivelor mobile, au aparut in ultima perioada noi variante de atacuri informatice menite de a extrage informatii cu caracter personal cunoscute sub forma furtului de identitate […]

Trevor Hughes, CEO IAPP: „În domeniul protecției datelor, avem o nouă profesie hibridizată”

Participând la cea de-a 13-a ediție a Conferinței pentru informatică, confidențialitate și protecția datelor (CPDP2020), desfășurată la Bruxelles în perioada 22-24 ianuarie 2020, Trevor Hughes, Președintele Asociației Internaționale […]

MODELE SI FORMULARE GDPR – O nouă carte în webshop-ul dpo-NET.ro

O nouă lucrare de mare interes a fost adaugată în webshop-ul dpo-NET.ro, fiind o contributie a membrilor Centrului de cercetare pentru protectia datelor, constituit in cadrul Universitatii de […]

Nicolae Ploeșteanu: „Consider că fiecare practician trebuie să aibă această carte”

In domeniul protecției datelor în România, anul 2020 a debutat cu lansarea pe piață a acestui volum, intituat „GDPR Aplicat. Instrumente de lucru pentru implementarea Regulamentului UE 679/2016”, […]

PECB semnează un acord de parteneriat cu NeoPrivacy România și lansează cursuri de certificare recunoscute internațional

PECB Group Inc. Canada a anunțat semnarea un nou acord de parteneriat cu NeoPrivacy România, pentru a distribui cursuri de formare PECB, recunoscute internațional. „Suntem foarte încântați de […]

Ce planuri ți-ai făcut pentru 2020 în privința protecției datelor?

La începutul noului an mulți dintre noi ne facem planuri pentru a ne îndepărta de obiceiurile proaste sau pentru a finaliza proiecte începute în anul precedent. Dar câți […]

Anul 2019 văzut prin ochii unui GDPR-ist, 10 momente memorabile

Este sfarsit de an si fiind un moment de bilant nu pot sa nu ma gandesc la cat de multe lucruri am realizat pe plan profesional si mai […]

Conceptul de „operatori independenți” este sinonim cu fuga de responsabilitate

Portalul dpo-NET.ro – Data Protection Officers Network în parteneriat cu Wolters Kluwer România, NeoPrivacy România, Decalex și unCommon Sense Advisory a organizat in data de 11 Decembrie 2019, în Sala de cursuri Wolters Kluwer România din București, a doua ediție […]

Curtea de Justiție a UE nu a utilizat niciodată expresia de „operatori independenți” în sensul practicii din România

Repere privind dobândirea calității de „operator”, „împuternicit al operatorului”, „operatori asociați” și atribuirea vreunei alte calități a unei entități care prelucrează date cu caracter personal Sumar: Prezentul articol […]

A început Războiul de independență al operatorilor de date din România

Nu știu alții cum sunt dar eu când mă gândesc la operatorii de date cu caracter personal care își proclamă independența peste noapte mă apucă panica. Numai în […]

Legea care a permis partidelor să copieze listele suplimentare încalcă GDPR-ul!?

Legea nr. 190/2018 privind măsuri de punere în aplicare a Regulamentului (UE) 2016/679 (Regulamentului general privind protecţia datelor), în vigoare de la 31 iulie 2018, „riscă” să fie […]

ORIZONTUL SECURITATII CIBERNETICE

„If you spend more on coffee than on IT security, you will be hacked. What’s more, you deserve to be hacked” (Richard Clarke) Cunoașteți vreo persoană care a […]

5G este o nouă energie electrică și va fi factorul cheie al lumii inteligente

WebSummit este evenimentul în care an de an giganții HiTech îsi prezintă inovațiile, prin care viața noastra ar trebui să devină mai simplă, mai confortabilă, mai sigură. Totodată […]