Gordon Wade este avocat specializat în confidentíalitatea și protecția datelor la PwC Legal Middle East, cu sediul în Dubai, și a acceptat cu entuziasm să ofere un interviu exclusiv pentru DPO-NET. Gordon si-a efectuat studiile la University College Dublin, Trinity College Dublin și Societatea de Drept din Irlanda și este recunoscut ca avocat în Irlanda, Anglia și Țara Galilor, precum și ca avocat în New York. De asemenea, Gordon deține certificări de protecție a datelor de la IAPP și OneTrust. Gordon are o gamă largă de experiențe în consilierea clienților cu privire la toate aspectele legate de legile privind confidențialitatea și protecția datelor, inclusiv GDPR, cât și legile privind protecția datelor din Bahrain și Qatar. Avocatura lui Gordon pune un accent deosebit pe asistarea clienților în implementarea GDPR și a programelor de conformitate. Ca parte a expertizei sale din domeniul protecției datelor, Gordon a oferit consultanță organizațiilor naționale și internaționale importante cu privire la aspectele legate de confidențialitatea și protecția datelor sensibile, inclusiv contractarea terților; servicii de cloud; politici de confidențialitate și protecție a datelor; profilarea și microtargetarea persoanelor vizate; transferurile internaționale de date și stocarea lor. Gordon colaboreaza periodic cu reviste juridice de top pe teme precum confidențialitatea și protecția datelor, dreptul corporatist și comercial și este co-autor al viitoarei lucrări, Ghid practic privind confidențialitatea și protecția datelor (2019, Chartered Accountants Ireland).

A trecut un an de la intrarea în vigoare a GDPR. În opinia dvs., ce s-a schimbat în cursul acestui an? Care au fost cele mai bune politici GDPR pe care le-ați văzut în acest an?

GW: Cu siguranță au fost foarte interesante cele 13 luni și ceva de la intrarea în vigoare a GDPR. M-am mutat în Orientul Mijlociu la cinci luni după "Ziua GDPR" și pot confirma faptul că GDPR are efecte de undă importante și în afara granițelor UE. În ultimul an, evoluția sferei de reglementare (spun evoluție deoarece nu se poate spune că GDPR a revoluționat legea privind protecția datelor, mai degrabă a modernizat legea pentru epoca digitală) ne-a arătat că obținerea dreptului la confidențialitatea datelor este important pentru organizații. Cu toate acestea, ne-a și demonstrat că traseul spre conformare nu este ușor, în special pentru IMM-uri. Concepte precum baza legală, prelucrare ulterioară, proiectarea sistemului asigurând implicit confidențialitatea (privacy by desing and by default), precum și măsuri tehnice și organizatorice - toate necesită timp de înțelegere și, după cum știm toți, nu există un model organizatoric de conformitate rapid sau unic.

Cred că ceea ce s-a schimbat este că există o mai mare sensibilizare a opiniei publice privind această lege, în special referitor la drepturile individuale, la valoarea datelor cu caracter personal și asupra rolului jucat de autoritățile de reglementare. Într-adevăr, nu cred că amenzile propuse și anunțate recent de ICO din Marea Britanie (în valoare totală de aproximativ 282 milioane de lire sterline) au trecut neobservate în toată Europa sau chiar și în plan internațional. În ceea ce privește autoritățile de reglementare în comparație cu anii precedenți, majoritatea autorităților raportează creșteri ale solicitărilor și plângerilor, ceea ce, în sine, arată că a crescut gradul de conștientizare cu privire la drepturile de protecție a datelor.

Politica de confidențialitate a unui site web, teoretic, este un document relativ simplu, care impune companiilor să clarifice "de ce, unde, cine, când și cât de mult” își desfășoară activitățile de prelucrare a datelor cu caracter personal. Cu toate acestea, multe companii se străduiesc să o obțină (transparența) corectă. La capătul spectrului, am văzut o companie de vânzări de bilete care utilizează foarte inteligent actualizările politicii de confidențialitate ca instrument de marketing. Ei folosesc un film video de impact, cu un e-mail în care limbajul este personal, transparent și onest și care pune clienții în controlul datelor lor și îi încurajează să pună întrebări și să afle mai multe detalii. Minunat. Dar, la celălalt capăt, am revizuit o politică care era foarte lungă și detaliată legat de drepturile clienților, dar notele de subsol (fine print) conțineau o declarație de declinare a responsabilității și care stipula că politica de confidențialitate nu este obligatorie sau aplicabilă din punct de vedere juridic – acest aspect chiar impune întrebarea dacă un autor/agent de reglementare într-adevăr ar considera acest document ca fiind o politică de confidențialitate.

Scopul GDPR nu este de a impune amenzi, ci de a proteja indivizii. Cu toate acestea, la trei ani de la intrarea în vigoare a regulamentului, doar 67% dintre europeni au auzit de GDPR, în timp ce doar 36% au afirmat că știu ce este acest regulament (datele prezentate de Comisia Europeană în cadrul sondajului Eurobarometru). Credeți că aceste cifre sunt rezultatul lipsei interesului oamenilor de a-și proteja datele?

GW: Deși cifrele pot părea scăzute, cred cu tărie că ultimele 12 luni au cunoscut o creștere uriașă în conștientizarea publicului referitor la GDPR și protecția datelor în comparație cu lumea pre-GDPR. Nu cred că există o lipsă de interes pentru protejarea datelor cu caracter personal, dimpotrivă, cred că persoanele vizate sunt mult mai pretențioși în ceea ce privește protecția datelor lor cu caracter personal, mai mult decât oricând. Poate că are legătură cu faptul că GDPR, la fel ca multe alte legi, este un document lung, complex, care nu invită consumatorul obișnuit să-l parcurgă într-o duminică după-amiază. De asemenea, GDPR este un subiect dificil de înțeles pentru multe companii, astfel încât persoanele vizate pot fi iertate pentru că nu înțeleg pe deplin ce reprezintă acesta.

Care credeți ca vor fi consecințele pe termen lung cu privire la această lipsă de conștientizare a importanței datelor?

GW: Lipsa de conștientizare a societății referitor la oricare dintre legile care vizează consolidarea drepturilor individuale, va avea întotdeauna unele consecințe negative, indiferent de subiectul în cauză. Lipsa conștientizării de către persoanele vizate a consimțământului, de exemplu, (care, probabil, este cel mai bun exemplu la care putem face acum referire, având în vedere că, multe companii nu-l apreciază pe deplin), poate lăsa persoanele vizate vulnerabile pe termen lung în fața interfețelor manipulative și de limbaj și care le determină să facă alegeri nepotrivite privind prelucrarea datelor lor personale, fără a înțelege pe deplin consecințele. De asemenea, neînțelegerea pe deplin a numeroaselor baze legale disponibile companiilor, din cadrul GDPR, înseamnă că persoanele vizate ar putea fi rugate să accepte procesarea în circumstanțe complet inadecvate în cadrul GDPR. În plus, nivelurile scăzute de conștientizare pot pune persoanele vizate într-un dezavantaj deosebit atunci când fac plângeri împotriva organizațiilor, deoarece este puțin probabil ca acestea să fie conștiente de anvergura drepturilor legale care le sunt acordate sub GDPR.

Având în vedere atacurile cibernetice asupra sistemului de sănătate din România din ultimele săptămâni, ce pot face unitățile medicale pentru a se proteja împotriva atacurilor cibernetice?

GW: Din nefericire, recent a existat o tendință crescătoare de comitere a acestor atacuri cibernetice asupra instituțiilor medicale. Având în vedere câștigul potențial mare sub forma informațiilor pacientului sau a situațiilor financiare, instituțiile medicale sunt o țintă pentru hackeri. Instituțiile medicale care doresc să-și îmbunătățească securitatea și să se ferească de amenințări pot lua în considerare următoarele recomandări:

Identificați și evaluați vulnerabilitățile sistemului

Vulnerabilitățile se găsesc acolo unde hackerii pot obține acces in sistem și când pot introducere viruși pentru a vă încetini rețeaua, pentru a accesa informațiile critice de sănătate sau de a vă elimina softul de apărare, pentru a vă face sistemul mai accesibil în viitor. Această evaluare va oferi echipei dumneavoastră de Securitate toate informațiile necesare să analizeze și să prioritizeze riscurile.

Aflați mai multe despre ransomware (tip de software rău intenționat conceput să blocheze accesul la un sistem informatic până la plata unei sume de bani) și creați o politică de apărare

Atacurile ransomware amenință să blocheze un computer sau o întreagă rețea dacă nu este plătită o anumită sumă de bani. Când se întâmplă un astfel de incident, aplicarea unor politici și proceduri corespunzătoare poate fi foarte valoroasă. Angajații trebuie să știe ce trebuie să facă (adică să nu încerce să rezolve singuri problema) și pe cine să contacteze (de exemplu, departamentul IT); acest lucru ar trebui să facă parte din instruirea lor în materie de securitate și de conștientizarea generală asupra securității.

 Protejați datele de sănătate pe dispozitivele inteligente

Unitățile medicale dețin echipamente electronice foarte mult conectate, cum ar fi pompele de perfuzie sau de monitorizare insulină, care sincronizează de la distanță informațiile pacientului direct la tableta medicului sau la stația de lucru a unei asistente medicale. Toate aceste dispozitive ar putea fi atacate, perturbate sau dezactivate cibernetic, ceea ce ar putea afecta dramatic îngrijirea pacientului. Dispozitivele medicale conectate, în mod special, ar trebui monitorizate și să dețină protecție anti-virus, firewall-uri sau sisteme de apărare similare.

Luați în considerare migrația cloud

Clud-ul poate oferi o soluție sigură și flexibilă de stocare și salvare a datelor de asistență medicală. Soluțiile de salvare de rezervă și recuperare în caz de dezastre asigură ca înregistrările pacienților să rămână disponibile chiar și în cazul unei breșe sau a unei perioade de nefuncționare. Combinat cu opțiunea de control a accesului la date, astfel de soluții pot oferi securitatea atât de necesară.

Asigurați-vă că furnizorii sunt conformi

Unitățile de asistență medicală ar trebui să solicite furnizorilor să ia măsuri pentru a monitoriza și detecta amenințările și să limiteze accesul la sistemele lor. În calitate de operatori de date, instituțiile de asistență medicală trebuie să se asigure că societățile lor de asigurări, furnizorii de infrastructură și orice alți parteneri de afaceri din domeniul sănătății au sisteme de securitate impecabile pentru a putea proteja informațiile medicale.

Este esențial ca persoanele să identifice prelucrarea ilegală a datelor pentru a-și putea exercita drepturile. Cât de important este să-ți cunoști drepturile, atât timp cât nu poți identifica procesarea ilegală? Care ar trebui să fie focusul campaniilor de informare pentru oameni?

GW: Dreptul la protecția datelor este un drept fundamental al omului, consacrat în mai multe cărți privind drepturile omului. Spiritul GDPR este de a proteja persoana vizată și de a-i acorda un control mai mare asupra datelor sale personale. Drepturile individuale nu sunt concepute pentru a reacționa la prelucrarea ilegală a datelor - există o serie de drepturi gazdă care permit diferite tipuri de lucruri, de la solicitarea corectării informațiilor la ștergerea datelor. Fără o conștientizare a diferitelor tipuri de drepturi acordate de GDPR, acestea pot pierde o mare parte din obiectivul propus. Prin urmare, pentru societate în ansamblu, autoritățile pentru protecția datelor ar trebui să se concentreze asupra promovării gradului de conștientizare a drepturilor individuale de a proteja informațiile cu caracter personal și asupra a ceea ce pot face dacă consideră că acest aspect nu este întrunit. În contextul ocupării forței de muncă, angajatorii pot utiliza cursurile de e-learning ca o soluție eficientă din punct de vedere al costurilor și de economisire a timpului pentru a crește gradul de conștientizare și de a educa angajații a căror slujbă implică prelucrarea și stocarea datelor cu caracter personal.

Cine considerați că ar trebui să se implice mai mult în diseminarea importanței datelor personale? Instituțiile publice, autoritățile naționale de supraveghere sau ONG-urile pentru protecția datelor?

GW: Cred că toate părțile interesate joacă un rol în răspândirea mesajului de protecție a datelor cu caracter personal - de la instituțiile și organizațiile care procesează cantități mari de date cu caracter personal până la autoritățile naționale de reglementare în materie de protecție a datelor, care sunt însărcinate cu responsabilitatea pentru protejarea drepturilor de protecție a datelor. Cu toate acestea, importanța campaniilor active de sensibilizare a opiniei publice din partea autorităților de reglementare nu poate fi subestimată, deoarece aceste organisme promovează respectarea prin orientare, supraveghere și executare a GDPR.

Care sunt cele mai bune exemple de campanii de sensibilizare cu privire la importanța datelor personale pe care le-ați văzut recent?

GW: Campania "Datele dvs. contează" organizată de către ICO - biroul comisarului britanic pentru informații ", consider că a fost un proiect deosebit de eficient pentru a ajuta oamenii să înțeleagă modul în care își pot exercita drepturile referitor la datelor lor, utilizând materialele de publicitate. Ceea ce îmi place este că ICO folosește mai multe canale și aplicații media sociale pentru a comunica GIF, mini-filme și linkuri către resurse utile și sfaturi privind protecția datelor. Filmele lor o includ adesea pe doamna comisar - Elizabeth Denham, fapt care consider că este o modalitate foarte eficientă de personalizare a autorității de reglementare.

Credeți că amenzile au un rol important în aplicarea GDPR? Din experiența dvs. practică, cei mai mulți operatori respectă GDPR din răspundere sau de teama de amenzi?

GW: Aceasta este o întrebare tipică acum, mai ales în lumina anunțurilor de intenție ale ICO de a amenda British Airways și Marriot Hotels în cuantum de aproximativ 300mil.£. Sancțiunile financiare vor avea întotdeauna un rol de jucat în conformitate cu orice lege, în special în cazul în care legea GDPR în cauză și-a arătat colții pe care i-am văzut că îi are. Cred că conformitatea este determinată de mai mulți factori dintre care doar unul are potențial pentru sancțiuni financiare. Companiile care demonstrează că respectă și protejează datele personale ale clienților lor pot obține un avantaj competitiv pe piață. Trebuie reamintit faptul că mai multe dintre cele mai importante autorități ale UE pentru protecția datelor, inclusiv Comisia irlandeză pentru protecția datelor, au afirmat că abordarea lor privind supravegherea respectării legii este una de colaborare, consultare și educație, mai degrabă decât pur punitivă.

Ce inseamna aceasta prima amenda GDPR în Romania (articolul 25, 130.000 de euro)? Ce sfat acordați operatorilor pentru a evita investigarea și eventual amendarea de către autoritate?

GW: Recenta amendă UniCredit a fost una interesantă. Amenda subliniază principiul GDPR de confidențialitate by design și arată modul în care autoritatea de reglementare din România îmbrățișează noile tehnologii și obligațiile de conformitate. Din punct de vedere practic, cred că această amendă ar putea fi începutul unei abordări mai agresive a autorităților de reglementare din România în ceea ce privește respectarea normelor GDPR. Într-adevăr, cea de-a doua amendă de 15.000 EUR este recent emisă către World Trade Center București. Aceste două amenzi pot însemna pregătirea autorității de reglementare de a trece de la clemență la o aplicare activă.

Credeți că instituțiile publice ar trebui să fie un exemplu pentru restul operatorilor? Punem această întrebare deoarece în România avem un tratament preferențial pentru instituțiile publice, amenda maximă pentru nerespectarea GDPR este de 200.000 de lei (aproximativ 42.000 de euro), mult mai mică decât ceea ce riscă operatorii privați. Este o practică generală la nivel european?

GW: Alte autorități de reglementare din UE au adoptat o abordare similară prin care autoritățile publice sunt supuse unor amenzi maxime mai mici decât cele din sectorul privat. De exemplu, în Irlanda, Legea privind protecția datelor 2018 plasează orice amendă împotriva unui organism public la 1 milion de euro, cu mult mai mare decât ceea ce reprezintă în prezent legea din România. Ceea ce este interesant este că guvernul irlandez a încercat inițial să scutească organele din sectorul public în întregime de amenzi, dar a respins următoarele preocupări exprimate de comisarul pentru protecția datelor. Cu toate acestea, din motive de obiectivitate și echitate, această limită nu se aplică organismelor publice care concurează pe piața bunurilor și serviciilor. Ideea este că, în ceea ce privește protejarea drepturilor fundamentale, în mod cert, sunt solicitate standard înalte de către organismele publice care ar trebui să acționeze ca un exemplu pentru toate organizațiile.

Cum credeți că ar trebui să se comporte un utilizator de internet dacă este conștient de riscurile pe care le ascunde Internetul?

GW: Personal, nu simt că utilizarea internetului meu s-a schimbat atât de mult de la intrarea în vigoare a GDPR, de exemplu, dar poate sătul puțin de bannere despre cookie-uri pe fiecare site. Elementele de bază se aplică în continuare la fel de mult ca și până acum- dacă pare suspect, șansele sunt să fie. Sfaturile mele sunt: ​​asigurați-vă că utilizați o conexiune securizată de internet (VPN); limitați cantitatea de date cu caracter personal pe care le transmiteți site-urilor web, în ​​special în cazul în care vi se solicită informații pentru care site-ul nu deține un motiv real pentru a le colecta; folosiți parole puternice; cumpărați doar articole online de pe site-uri sigure; păstrați software-ul anti-virus și fiți atenți la ceea ce descărcați.

Accesul copiilor la Internet este deja normal. Ar trebui să ne îngrijoreze asta? Credeți că educația privind accesul copiilor la Internet ar trebui să fie o sarcină pentru părinți sau ar trebui sistemul educațional să își asume acest rol?

GW: Cred că amândoi au un rol în acest sens. Am primit prima mea "cărămidă" de telefon mobil Nokia când aveam 13 ani, cu care puteam să trimit mesaje text, să fac apeluri și să mă joc Snake - asta a fost tot. Derulați rapid înainte 20 de ani și găsiți copii cu mult mai mici de 13 ani, care au telefoane inteligente cu care pot face tot felul de lucruri și pot accesa toate tipurile de informații. Părinții cumpără telefoane atât de natural copiilor, încât trebuie să-și asume un grad de responsabilitate pentru educarea acestora în privința utilizării în siguranță a internetului. În același timp, școlile încorporează din ce în ce mai mult sistemul informatic în sistemul de învățământ, astfel încât și ei trebuie să se angajeze să răspândească mesajul despre utilizarea în siguranță a internetului. Consider că internetul este un lucru și  bun și rău pentru copii; pe de o parte, abilitatea copilului de a învăța este practic nelimitată, prin accesul la internet, iar cercetările arată că cei cu acces la internet învață să citească mai devreme și mai bine, să-și câștige încrederea în sine și să rețină mai bine informațiile decât prin învățarea tradițională. Pe de altă parte, fără supraveghere, internetul poate fi un loc periculos și subversiv. Totul se învârte în jurul unei utilizări sigure.

Care sunt sfaturile pe care le puteți oferi unei persoane vizate și unui operator?

GW: Pentru organizații, accentul trebuie acum pus pe conformarea continuă:

1. Întoarceți-vă și examinați-vă notificările privind confidențialitatea - amenda Google din Franța s-a bazat în mare măsură pe faptul că autoritatea de reglementare a constatat că politicile Google privind persoanele vizate sunt opace, nu sunt ușor de evaluat și se răspândesc în prea multe locații.
2. Unele autorități de reglementare (de exemplu ICO din Marea Britanie) elimină cerințele locale de înregistrare și plată a taxei anuale. Urmăriți acest lucru
3.  Viitorul unor mecanisme de transfer în țări terțe (clauze contractuale standard și "Shield Privacy") este în prezent îndoielnic. Începeți să evaluați alternative viabile, cum ar fi BCR etc.
4. Autoritățile de reglementare iau foarte serios nerespectarea drepturilor persoanelor vizate. Politicile și procedurile DSAR trebuie să fie în actualizate - încercați să le și perfecționați frecvent.
5. De mai mult de un an de la intrarea în vigoare a GDPR, s-ar putea să fie timpul să oferim angajaților un curs de perfecționare, în special în lumina extinderii activității recente de reglementare.
6. Nu lăsați GDPR să înăbușe oportunitățile de inovare, dar întotdeauna să aveți în vedere protecția datelor atunci când elaborați sau implementați un nou proces. Este mai ușor să încorporați confidențialitatea într-o arhitectură de sisteme de la început decât să încercați să modernizați mai târziu.

 Pentru persoanele vizate:

1. GDPR vă recomandă să aveți un control asupra informațiilor dumneavoastră cu caracter personal și vă oferă o serie de drepturi puternice care vă permit să faceți acest lucru. Nicio companie nu este proprietară a datelor dvs., trebui să știți întotdeauna ce se întâmplă cu ele.
2. Respectarea și protecția datelor dvs. personale este un drept fundamental al omului și un drept care va fi impus organizațiilor de către o autoritate de reglementare independentă.
3. Aveți întotdeauna dreptul de a depune o plângere la autoritatea locală pentru protecția datelor cu privire la ceea ce face o organizație cu datele dumneavoastră.

Vă invităm marți, 12 Aprilie 2022, de la ora 17, să participați ONLINE la lansarea cărții "SECURITATEA REȚELELOR ȘI A SISTEMELOR INFORMATICE. IMPLEMENTAREA DIRECTIVEI NIS ÎN ROMÂNIA" a autorilor Marius Dumitrescu și Daniela Simionovici.

Acest proiect editorial apărut în colecția Științe Juridice la Editura Universitară, unic pe piața din România, se adresează operatorilor de servicii esenţiale, furnizorilor de servicii digitale şi responsabililor cu implementarea NIS la nivelul entităţilor vizate de prevederile Directivei NIS (energie, transport, sectorul bancar, domeniul medical, infrastructuri ale pieței financiare, infrastructură digitală, furnizarea și distribuirea de apă potabilă, piețe online, motoare de căutare online și servicii de cloud computing).

Scopul acestei cărți este de a-i ajuta pe cei vizaţi nu doar să implementeze prevederile Directivei, ci să înţeleagă importanţa acesteia şi, mai ales, faptul că serviciile esenţiale pe care le furnizează au nevoie de o protecţie deosebită nu pentru faptul că nerespectarea Directivei ar atrage după sine amenzi, ci pentru faptul că orice perturbare în furnizarea serviciilor esenţiale se poate traduce în disfuncţionalităţi grave la nivel comunitar şi chiar societal.

Participanții la evenimentul de lansare vor primi un discount de 10% pentru achiziția cărții. Preț întreg: 150lei / Preț special de lansare: 135lei  Transportul prin curier se calculează suplimentar.

Puteți plasa chiar acum o precomandă și veți primi cartea imediat după lansare. 

RĂSFOIEȘTE CUPRINSUL CĂRȚII | DESPRE AUTORI | CUVÂNT ÎNAINTE | INTRODUCERE

Titlu: Securitatea reţelelor şi a sistemelor informatice. Implementarea directivei NIS în România

• ISBN: 978-606-28-1430-4
• Format: Tipărit  
• Pagini: 452
• Autori: Marius DUMITRESCU, Daniela SIMIONOVICI
• Publicat de: Editura Universitară, Colecţia Ştiinte juridice
• Data aparitiei: 2022

TRANSMISIUNE LIVE - LANSARE

Lansarea acestui proiect editorial se va face online, marți 12 aprilie 2022 începând cu ora 17:00, printr-o transmisiune LIVE pe Facebook, Linkedin, Youtube, Conferinte.ro si dpo-net.ro  la care vor lua parte mai mulți invitați speciali.

DESPRE ACEST PROIECT EDITORIAL

Daniela Cireasa a absolvit Facultatea de Drept, Universitatea Nicolae Titulescu, este consilier juridic din anul 2001 și Senior Partner în cadrul NeoPrivacy Romania. In 2018 a absolvit cursurile postuniversitare de protectia datelor „Protectia juridica a datelor personale” si a obtinut în iunie 2019 titlul de „Cel mai bun DPO din Romania” împreuna cu Echipa Nord Est DPO Romania la Targu Mures. Ofera consultanță în domeniul implementării Regulamentului General privind Protecția Datelor (GDPR) și este Responsabil cu protectia datelor (DPO). Cei 17 ani de activitate practica din care 4 ani in functie de conducere, au ajutat la cunoasterea mediului privat de afaceri si respectiv a activitatii departamentelor din cadrul unei societati de productie si comert, precum si schimburi intracomunitare. Este Vicepreședinte al ASCPD - Asociatia Specialistilor in Confidentililitate si Protectia Datelor și coautor al volumului "GDPR Aplicat", publicat la începutul acestui an. 

Daniela Cireasa a acceptat să ofere un interviu în exclusivitate pentru cititorii dpo-NET.ro, reușind să realizeze o radiografie fidelă a tuturor provocărilor profesionale, și nu numai, din acest an, pentru Responsabilul cu Protecția Datelor din România. 

Prin acest interviu i-am adresat doar două întrebări: cum a arătat agenda DPO-ului Daniela Cireașă și care au fost cele mai mari provocări cu care s-a confruntat în anul 2020?

D.C.: Deși a început în condiții de normalitate, anul 2020 avea să fie unul dintre cei mai plini de provocări ani, atât pentru DPO, cât și, în general, pentru întreaga omenire.

Dacă în 2019 ne-am concentrat pe problematici precum incompatibilitățile, poziția DPO-ului în cadrul organizației și metodele de a-și câștiga și consolida rolul stabilit de Regulament, cine este cu adevărat responsabil pentru implementarea GDPR și cine întocmește celebrul “dosar GDPR”, ce înseamnă cu adevărat măsuri tehnice și organizatorice "suficiente", anul 2020 se anunța destul de liniștit, fără mari provocări pentru DPO, concentrarea sa îndreptându-se către formarea profesională continuă în domeniu. Așa a debutat și anul meu, cu participarea în luna ianuarie la CPDP 2020 la Bruxelles (https://www.cpdpconferences.org/news/cpdp2020-full-program-available ).

Perspectiva mea profesională, din care scriu aceste rânduri, este una diversă, ca DPO extern, consultant în protecția datelor personale, co-autor al cărții “GDPR Aplicat”, dar și vicepreședinte al Asociației Specialiștilor în Confidențialitate și Protecția Datelor (https://ascpd.ro/). Fiecare dintre aceste roluri a presupus în 2020 foarte multă muncă de voluntariat și orientare către aducere de plus valoare prin articole, ghiduri, proceduri, webinare gratuite și conferințe online prin intermediul cărora am încercat să dau o mână de ajutor operatorilor si profesioniștilor în domeniu, dar, mai ales responsabililor cu protecția datelor personale, care au fost copleșiți în aceasta perioadă de noianul de schimbări și situații cu care nu s-au mai confruntat vreodată. În ianuarie 2020 am lansat, împreună cu Daniela Simionovici, Cătălina Lungu și Marius Florian Dan, volumul “GDPR Aplicat. Instrument de lucru pentru implementarea Regulamentului 679/2016”, carte care se adresează responsabililor cu protecția datelor personale dar și operatorilor sau persoanelor împuternicite.

Cea mai mare provocare, pentru noi toți, a venit în luna martie, o dată cu starea de urgență, când mulți dintre noi, DPO externi, am fost puși în situația de a suspenda contractele de servicii.

Odată cu starea de urgență a apărut provocarea educației online, procedurile privind școala online făcându-se anevoios, în totală nesiguranță din punct de vedere cibernetic. Am publicat împreună cu ceilalți co-autori ai “GDPR Aplicat” un set de recomandări pentru școala online (https://dpo-net.ro/specialistii-in-protectia-datelor-personale-sar-in-ajutorul-cadrelor-didactice-implicate-in-invatamantul-on-line/?cat=106), punând accentul pe securitatea prelucrărilor de date online, în mod special ținându-se seama că majoritatea persoanelor vizate erau minori. Demersul nostru a fost ulterior susținut și de către ASCPD prin “Scrisoarea deschisă adresată ministerului educației și cercetării privind limitarea accesului la educație al elevilor din Romania” atunci când s-a solicitat consimțământul părinților și declarații pe propria răspundere ale elevilor, atât la evaluarea națională cât și la bacalaureat (https://ascpd.ro/2020/06/17/ascpd-transmite-o-scrisoare-deschisa-adresata-ministerului-educatiei-si-cercetarii-privind-limitarea-accesului-la-educatie-al-elevilor-din-romania/), dar și prin reacția la cuvântul “bazaconie” folosit de fostul prim ministru atunci când a răspuns afirmației că profesorii invocă GDPR-ulca să evite lecțiile online. În reacția menționată am prezentat 10 situații în care procesul de teleeducație din România încalcă Regulamentul UE 2016/679, generând riscuri considerabile la adresa drepturilor și libertăților fundamentale ale tuturor actorilor implicați în învățământul online. Apreciez, din experiența proprie cu școala online, că lucrurile s-au mai îmbunătățit odată cu începerea anului școlar în septembrie, dar nu radical și încă se mai produc incidente. Amintesc cu acest prilej că a fost publicată o metodologie privind învățământul online, însă aceasta transferă întreaga responsabilitate a securizării cursurilor către unitățile de învățământ și profesori, iar mai nou, prin celebra declarație solicitată părinților și copiilor privind înregistrarea orelor online, răspunderea se transferă parțial și către părinți. La nivelul unităților de învățământ este o adevărată provocare pentru responsabilul cu protecția datelor deoarece nu se pun la dispoziție resurse materiale suficiente pentru măsurile pe care acesta le-ar recomanda. Aș adăuga aici și faptul că mulți dintre DPO de școală sunt profesori, neavând pregătirea necesară și nici suportul pentru îndeplinirea acestui rol.

În aprilie, datorită intensificării activității ONG-urilor de strângere de fonduri pentru acordarea de ajutor pe timpul pandemiei celor care aveau nevoie, am elaborat, împreună cu colegii din ASCPD, un Ghid destinat ONG-urilor (https://ascpd.ro/2020/04/27/ascpd-a-publicat-un-ghid-destinat-ong-urilor-implicate-in-campanii-de-strangere-de-fonduri-in-perioada-pandemiei-covid-19/). Scopul Ghidului a fost și este acela de a oferi celor implicați în activitatea de strângere de fonduri, un instrument cu ajutorul căruia să se asigure că respectă dreptul fundamental al persoanelor vizate la protecția datelor cu caracter personal, cu precizarea că respectarea prevederilor Regulamentului 679/2016 nu se suspendă în nicio situație, nici pe timp de pandemie, contrar celor auzite de multe ori anul acesta.

Începând cu luna mai a demarat organizarea de webinare și conferințe online, primele la care am participat fiind “Provocările procesului de cartografiere” (https://dpo-net.ro/participa-la-webinarul-dpo-tools-12-mai-2020-provocarile-procesului-de-cartografiere/?cat=67), prezentarea mea fiind axată pe cartografierea datelor personale în domeniul resurselor umane, iar următorul eveniment a avut un subiect îndelung comentat anul acesta: “Termoscanarea și implicațiile asupra relațiilor de muncă” (https://dpo-net.ro/dpo-talks-21052020-webinar-termoscanarea-implicatiile-asupra-relatiilor-de-munca/?cat=67).  Tot în cursul lunii mai 2020 am elaborat și publicat gratuit o procedură privind termoscanarea (https://dpo-net.ro/document-gratuit-procedura-controlul-temperaturii-angajatilor/?cat=58), în contextul în care apărea legislație nouă aproape zilnic, cea mai mare provocare pentru operatori dar și pentru DPO fiind aceea că termoscanarea nu trebuie să se facă cu prelucrare de date personale, lucru aproape imposibil în practică, deoarece majoritatea locurilor în care se face/făcea termoscanarea sunt amplasate la intrarea în unitate, deci supravegheate video și, dacă erau depistați angajați cu temperatura peste 37,3 grade, aceștia erau direcționați către medicul de familie, înregistrându-se în evidențele angajatorului motivul absenței acestora. De asemenea, DSP-urile județene, cu ocazia verificării îndeplinirii acestei obligații, solicitau dovada măsurării temperaturii, dovadă care implica, de cele mai multe ori, prelucrarea de date personale. Așadar, rolul DPO-ului în cazul termoscanării a fost unul deosebit de dificil, cadrul legal în permanentă modificare, presiunea persoanelor vizate (să ne amintim de CIP-puri, sârmele din măști, 5G și alte fakenews din perioada aceea), managementul superior care încerca să-și protejeze business-ul, toate acestea făcând misiunea DPO-ului foarte grea. Am recomandat la momentul respectiv formarea unei comisii din care să facă parte atât managementul cât și responsabilul cu sănătatea și securitatea în muncă, medicul de medicina muncii, juristul și DPO-ul, comisie care să gestioneze situația în cele mai bune condiții posibil.

În luna iunie, pe fondul solicitării consimțământului în procesul de educație dar și în procesul termoscanarii, am scris, împreună cu Marius Dumitrescu, articolul “De unde provine falsa supremație a consimțământului ca temei legal”, manifestându-ne îngrijorarea că, după 2 ani de la punerea în aplicare a GDPR, încă se mai discută întâi de consimțământ și abia apoi se verifică existența unui alt posibil temei de prelucrare a datelor personale. Concluzia a fost că această confuzie provine din vechea ierarhie din Legea 677/2001, lege în care consimțământul era considerat principalul temei al prelucrării, operatorii scăpând din vedere că situația s-a schimbat o dată cu apariția Regulamentului și a ghidului privind consimțământul.

Luna iulie a adus două noi evenimente online în cadrul cărora am prezentat prelucrarea datelor personale în cazul sănătății și securității în muncă (https://www.youtube.com/watch?v=6FpbUTqkmkE), dar și a medicinei muncii (https://www.youtube.com/watch?v=6XdDWfsenjM&t=16727s), prezentări care s-au concretizat într-un articol apărut în numărul trei al Revistei pentru protecția și securitatea datelor cu caracter personal. De ce SSM și MM? Deoarece am întâlnit cazuri în care încă nu se înțelege calitatea de persoana împuternicită sau operator asociat a responsabilului extern cu SSM și a medicului de medicina muncii, încă nu se înțelege că volumul de date prelucrat de către aceștia este unul impresionant, iar incidentele de securitate sunt destul de frecvente. De asemenea, am ales acești doi actori deoarece sunt deosebit de importanți în perioada pandemiei pentru activitatea oricărui operator de date personale. Una dintre ultimele provocări în calitate de DPO a fost aceea a unui operator care a declarat că responsabilul extern de SSM este operator independent și că nu au niciun fel de relație conform GDPR.

Tot luna iulie a adus, de data aceasta pentru toți operatorii de date, una dintre cele mai mari provocări din istoria protecției datelor personale: invalidarea Privacy Shield cu Statele Unite.

16 iulie 2020. O dată de la care aproape toți operatorii de date personale din România ar fi trebuit să-și reconsidere soluțiile de tip website, găzduire e-mail, servicii de newsletter, cloud, conturi pe rețele de socializare, cookie-ului de analiză, remarketing, aplicații, găzduire de baze de date și altele. Invalidarea Scutului de confidențialitate a avut ecou în rândul specialiștilor în protecția datelor din întreaga lume, însă, cei afectați direct, respectiv operatorii de date personale și persoanele vizate, nu par a  fi la curent cu această decizie sau, în orice caz, nupar a conștientiza efectele ei.

Operatorii ar putea spune că ei nu fac niciun transfer de astfel de date către SUA, uitând să analizeze furnizorii de servicii de tip newsletter, spre exemplu, sau categoriile de cookie instalate pe website-ul companiei. Transferurile de acest tip sunt frecvente și mulți dintre operatori le-au făcut și încă le fac inconștient. Menționez aici lipsa acordurilor încheiate cu persoanele împuternicite chiar și anterior Deciziei de invalidare a scutului de confidențialitate sau utilizarea încă frecventă a adreselor de e-mail de tip yahoo sau gmail în scop profesional. Revenind la problematica ridicată de către Decizie, apreciez că efectele acesteia nu sunt cunoscute încă nici de către marea masă a operatorilor și nici de către persoanele vizate. Mai multe detalii despre această decizie puteți citi în articolul “Impactul invalidării Privacy Shield și posibile soluții pentru operatorii de date personale” (https://dpo-net.ro/impactul-invalidarii-privacy-shield-si-posibile-solutii-pentru-operatorii-de-date-personale/?cat=36).

Deși am recomandat operatorilor din Romania să apeleze la specialiști în domeniul protecției datelor personale, nici pentru aceștia misiunea de a convinge operatorii să renunțe la soluții din SUA în favoarea altora din UE, nu a fost deloc ușoară. Anul acesta am avut ocazia să moderez evenimentul “Schrems II- Avem soluții?” (https://dpo-net.ro/webinar-dpo-talks-schrems-ii-avem-solutii-02-11-2020/) în cadrul căruia am identificat soluții românești atât pentru newsletter, platforme online, plata online, cloud, găzduire și multe altele, așadar am încercat să facem misiunea DPO-ului mai ușoară, oferindu-i instrumente alternative celor din Statele Unite.

În luna septembrie am prezentat, în cadrul Conferinței “Protecția datelor personale. Impactul noilor tehnologii și dreptul” desfășurată în cadrul «International Summer School 2020» ediția a XIII-a , desfășurată la Târgu Mureș, lucrarea privind invalidarea Privacy Shield, lucrare ce a devenit ulterior subiectul unui articol publicat.

Luna octombrie a adus două declarații nefericite pentru protecția datelor personale și, pe cale de consecință, pentru poziția DPO-ului în organizații, dar și în mentalul celor din jur: termenul de “bazaconie” folosit de către fostul premier (https://ascpd.ro/2020/10/03/ascpd-isi-manifesta-ingrijorarea-fata-de-utilizarea-termenului-bazaconie-in-declaratiile-publice-ale-premierului/), și cel de “eșafodaj complicat”, folosit de către un europarlamentar român la adresa Regulamentului privind protecția datelor personale. Astfel de declarații nu fac deloc mai ușoară munca DPO-ului, ba dimpotrivă.

Lunile octombrie și noiembrie s-au concentrat, în ceea ce mă privește, pe telemuncă, provocările aduse de aceasta și recomandările pentru operatori, angajați și DPO, concretizând aceasta activitate atât prin participarea la evenimente online cu acest subiect (https://neoprivacy.ro/webinar-digitalizarea-beneficii-provocari-legate-de-telemunca-30-10-2020/), cât și prin scrierea de articole (https://dpo-net.ro/telemunca-si-protectia-datelor-personale-in-contextul-digitalizarii/?cat=106) și publicarea, împreună cu colegii din Neoprivacy, a unei Proceduri gratuite privind munca în afara sediului angajatorului (https://neoprivacy.ro/procedura-privind-munca-in-afara-sediului-angajatorului-gratuit/).

Reglementată de Legea 81/2018 și impusă în viața noastră mai repede decât ne-am fi așteptat de către pandemia Covid 19, telemunca, dar și munca la domiciliu au devenit o realitate tot mai prezentă. Este evident că viitorul se îndreaptă către digitalizare și activități preponderent online în toate domeniile vieții noastre, inclusiv în ceea ce privește munca de la distanță, în alte locații decât sediul angajatorului dar, o dată cu ea, apar noi provocări, atât pentru angajați, cât și pentru angajatori și, evident, pentru DPO.

Conform articolului 4 alin. 3 din Legea 81/2018, angajatorii pot verifica activitatea angajaților care lucrează prin telemuncă în condițiile și în modalitatea concretă stabilite prin Regulamentul intern, contractul individual sau colectiv de muncă, după caz. Așadar, condițiile și modalitățile efective de monitorizare trebuie stabilite în mod transparent anterior începerii activității de telemuncă.

Recomand ca înainte de a pune în aplicare orice formă de monitorizare a angajaților, angajatorul să efectueze o analiză a gradului de imixtiune în viața privată a angajatului, a riscurilor pentru drepturile și libertățile acestuia șisă-și adapteze politicile și procedurile la legislația internă și la cea a Uniunii Europene, la recomandările privind prelucrarea datelor personale la locul de muncă, la jurisprudența Curții de Justiție a Uniunii Europene în materie dar și la  amenzile aplicate până acum pentru monitorizarea excesivă a angajaților.

Este de menționat și în acest caz rolul Responsabilului cu protecția datelor personale în întocmirea dar și monitorizarea respectării acestei proceduri. Apreciez că riscul apariției unui incident de securitate este cu mult mai ridicat decât în condițiile muncii normale, de la birou, așa că se impun măsuri tehnice și organizatorice mai stricte. Această temă este tratată pe larg într-un articol din numărul patru al Revistei române pentru protecția și securitatea datelor cu caracter personal, scris împreună cu Daniela Simionovici.

În luna noiembrie ne-a pregătit o surpriză și o provocare și mai mare pentru noi, Responsabilii cu protecția datelor personale: proiectul de lege privind profesia de DPO (https://www.juridice.ro/wp-content/uploads/2020/12/20b653FG.pdf). Un proiect de lege complet eronat, căruia i s-au adus critici atât de către ASCPD (https://ascpd.ro/2020/11/12/ascpd-contesta-continutul-si-modul-de-legiferare-ales-pentru-organizarea-profesiei-de-responsabil-cu-protectia-datelor-in-romania/), de către avocați (https://www.juridice.ro/706312/nici-gdpr-nu-e-pentru-oricine-opinie-fata-de-un-proiect-de-lege-si-fata-de-punctul-de-vedere-al-unbr.html ),  dar și de către mediul de business, profesori universitari, și, în general, de majoritatea celor specializați în domeniul protecției datelor. Proiectul de lege amintit nu numai că încalcă legislația internă, dar și Regulamentul UE 679/2016, afectând dramatic rolul Responsabilului cu protecția datelor personale așa cum a fost el stabilit de către GDPR. De asemenea, prin proiectul de lege se stabilesc atribuții noi pentru Autoritatea de supraveghere, care nu a fost consultată anterior depunerii lui.

Deși speram că luna decembrie va fi, în sfârșit, una liniștită,  se pare că este doar liniștea dinaintea unei noi furtuni, deoarece zilele trecute a fost depus un nou proiect de lege care impactează activitatea Responsabililor cu protecția datelor personale, de data aceasta din domeniul educației: supravegherea audio-video în sălile de clasă (http://www.cdep.ro/proiecte/2020/600/70/8/pl888.pdf). Proiectul este la fel de plin de încălcări ale legislației în vigoare (internă, dar și europeană), neținând cont nici de jurisprudența în materie.

Apreciez că persoanele vizate încep să-și cunoască drepturile, anul acesta am avut mai multe solicitări de ajutor ca niciodată pentru formularea de cereri pe dreptul de acces, numai în ultima lună având 3 (toate pentru primirea de mesaje prin poștă sau sms în cursul campaniei electorale).

Anul acesta a adus cu sine numeroase sancțiuni ale încălcării Regulamentului aplicate atât în Europa cât și în România. Am tratat pe larg aceste sancțiuni împreună cu Marius Dumitrescu și Daniela Simionovici în numerele 2,3 și 4 ale Revistei române pentru protecția și securitatea datelor cu caracter personal. Ceea ce este de subliniat e paleta largă a încălcărilor sancționate de către Autoritatea de supraveghere din România, printre care amintesc lipsa implementării de măsuri tehnice și organizatorice, lipsa de cooperare, lipsa notificării incidentelor de securitate, lipsa de răspuns la cererile persoanelor vizate, lipsa de ducere la îndeplinire a măsurilor corective dar și încălcarea principiilor din GDPR. Este de menționat una dintre cele mai mari amenzi aplicate vreodată de către autoritatea română, cea dată Băncii Transilvania, publicată în cursul lunii decembrie 2020 și care scoate în evidență importanța covârșitoare a instruirii angajaților, dincolo de măsurile tehnice de securitate implementate (https://www.dataprotection.ro/?page=Comunicat_17_12_2020&lang=ro ). Până la urmă, așa cum s-a dovedit în nenumărate rânduri, angajații sunt cea mai mare vulnerabilitate și cred că anul 2021 ar trebui să fie despre conștientizare și instruiri repetate ale personalului.

Apreciez în mod deosebit faptul că Autoritatea de supraveghere a întocmit și publicat Ghidul cu recomandări pentru asociațiile de proprietari (https://www.dataprotection.ro/?page=Prelucrarea_datelor_personale_de_catre_asociatiile_de_proprietari&lang=ro ), acestea fiind printre cei mai sancționați operatori.

Anul 2020 a fost o provocare pentru întreg mediul economic, mulți operatori restrângându-și activitatea și renunțând, printre primele lucruri, la “moftul” numit GDPR, acest fapt afectând activitatea multor DPO externi.

În concluzie, cuvintele cheie pentru activitatea DPO-ului în anul 2020 sunt: provocare continuă, voluntariat, digitalizare, rol cheie în organizație, conștientizarea importanței datelor personale de către operatori și persoanele vizate.

De la anul 2021 cred că Responsabilii cu protecția datelor își doresc recomandările Comitetului European pentru Protecția Datelor Personale în urma invalidării Privacy Shield, ghidul pentru operatorii asociați și persoanele împuternicite dar, în primul rând, întoarcerea la normalitate, deși ea nu va mai fi niciodată la fel, ci vom fi confruntați cu o normalitate redefinită și marcată de cu totul alte repere decât cele cu care am fost obișnuiți.

Din punctul de vedere al activității Asociației Specialiștilor în Confidențialitate și Protecția Datelor, anul 2021 se anunță unul plin, debutând în luna ianuarie cu organizarea Conferinței Naționale de Confidențialitate și protecția datelor PRIVACY ROMANIA 2021 (https://privacyromania.ro/).