Gordon Wade este avocat specializat în confidentíalitatea și protecția datelor la PwC Legal Middle East, cu sediul în Dubai, și a acceptat cu entuziasm să ofere un interviu exclusiv pentru DPO-NET. Gordon si-a efectuat studiile la University College Dublin, Trinity College Dublin și Societatea de Drept din Irlanda și este recunoscut ca avocat în Irlanda, Anglia și Țara Galilor, precum și ca avocat în New York. De asemenea, Gordon deține certificări de protecție a datelor de la IAPP și OneTrust. Gordon are o gamă largă de experiențe în consilierea clienților cu privire la toate aspectele legate de legile privind confidențialitatea și protecția datelor, inclusiv GDPR, cât și legile privind protecția datelor din Bahrain și Qatar. Avocatura lui Gordon pune un accent deosebit pe asistarea clienților în implementarea GDPR și a programelor de conformitate. Ca parte a expertizei sale din domeniul protecției datelor, Gordon a oferit consultanță organizațiilor naționale și internaționale importante cu privire la aspectele legate de confidențialitatea și protecția datelor sensibile, inclusiv contractarea terților; servicii de cloud; politici de confidențialitate și protecție a datelor; profilarea și microtargetarea persoanelor vizate; transferurile internaționale de date și stocarea lor. Gordon colaboreaza periodic cu reviste juridice de top pe teme precum confidențialitatea și protecția datelor, dreptul corporatist și comercial și este co-autor al viitoarei lucrări, Ghid practic privind confidențialitatea și protecția datelor (2019, Chartered Accountants Ireland).

A trecut un an de la intrarea în vigoare a GDPR. În opinia dvs., ce s-a schimbat în cursul acestui an? Care au fost cele mai bune politici GDPR pe care le-ați văzut în acest an?

GW: Cu siguranță au fost foarte interesante cele 13 luni și ceva de la intrarea în vigoare a GDPR. M-am mutat în Orientul Mijlociu la cinci luni după "Ziua GDPR" și pot confirma faptul că GDPR are efecte de undă importante și în afara granițelor UE. În ultimul an, evoluția sferei de reglementare (spun evoluție deoarece nu se poate spune că GDPR a revoluționat legea privind protecția datelor, mai degrabă a modernizat legea pentru epoca digitală) ne-a arătat că obținerea dreptului la confidențialitatea datelor este important pentru organizații. Cu toate acestea, ne-a și demonstrat că traseul spre conformare nu este ușor, în special pentru IMM-uri. Concepte precum baza legală, prelucrare ulterioară, proiectarea sistemului asigurând implicit confidențialitatea (privacy by desing and by default), precum și măsuri tehnice și organizatorice - toate necesită timp de înțelegere și, după cum știm toți, nu există un model organizatoric de conformitate rapid sau unic.

Cred că ceea ce s-a schimbat este că există o mai mare sensibilizare a opiniei publice privind această lege, în special referitor la drepturile individuale, la valoarea datelor cu caracter personal și asupra rolului jucat de autoritățile de reglementare. Într-adevăr, nu cred că amenzile propuse și anunțate recent de ICO din Marea Britanie (în valoare totală de aproximativ 282 milioane de lire sterline) au trecut neobservate în toată Europa sau chiar și în plan internațional. În ceea ce privește autoritățile de reglementare în comparație cu anii precedenți, majoritatea autorităților raportează creșteri ale solicitărilor și plângerilor, ceea ce, în sine, arată că a crescut gradul de conștientizare cu privire la drepturile de protecție a datelor.

Politica de confidențialitate a unui site web, teoretic, este un document relativ simplu, care impune companiilor să clarifice "de ce, unde, cine, când și cât de mult” își desfășoară activitățile de prelucrare a datelor cu caracter personal. Cu toate acestea, multe companii se străduiesc să o obțină (transparența) corectă. La capătul spectrului, am văzut o companie de vânzări de bilete care utilizează foarte inteligent actualizările politicii de confidențialitate ca instrument de marketing. Ei folosesc un film video de impact, cu un e-mail în care limbajul este personal, transparent și onest și care pune clienții în controlul datelor lor și îi încurajează să pună întrebări și să afle mai multe detalii. Minunat. Dar, la celălalt capăt, am revizuit o politică care era foarte lungă și detaliată legat de drepturile clienților, dar notele de subsol (fine print) conțineau o declarație de declinare a responsabilității și care stipula că politica de confidențialitate nu este obligatorie sau aplicabilă din punct de vedere juridic – acest aspect chiar impune întrebarea dacă un autor/agent de reglementare într-adevăr ar considera acest document ca fiind o politică de confidențialitate.

Scopul GDPR nu este de a impune amenzi, ci de a proteja indivizii. Cu toate acestea, la trei ani de la intrarea în vigoare a regulamentului, doar 67% dintre europeni au auzit de GDPR, în timp ce doar 36% au afirmat că știu ce este acest regulament (datele prezentate de Comisia Europeană în cadrul sondajului Eurobarometru). Credeți că aceste cifre sunt rezultatul lipsei interesului oamenilor de a-și proteja datele?

GW: Deși cifrele pot părea scăzute, cred cu tărie că ultimele 12 luni au cunoscut o creștere uriașă în conștientizarea publicului referitor la GDPR și protecția datelor în comparație cu lumea pre-GDPR. Nu cred că există o lipsă de interes pentru protejarea datelor cu caracter personal, dimpotrivă, cred că persoanele vizate sunt mult mai pretențioși în ceea ce privește protecția datelor lor cu caracter personal, mai mult decât oricând. Poate că are legătură cu faptul că GDPR, la fel ca multe alte legi, este un document lung, complex, care nu invită consumatorul obișnuit să-l parcurgă într-o duminică după-amiază. De asemenea, GDPR este un subiect dificil de înțeles pentru multe companii, astfel încât persoanele vizate pot fi iertate pentru că nu înțeleg pe deplin ce reprezintă acesta.

Care credeți ca vor fi consecințele pe termen lung cu privire la această lipsă de conștientizare a importanței datelor?

GW: Lipsa de conștientizare a societății referitor la oricare dintre legile care vizează consolidarea drepturilor individuale, va avea întotdeauna unele consecințe negative, indiferent de subiectul în cauză. Lipsa conștientizării de către persoanele vizate a consimțământului, de exemplu, (care, probabil, este cel mai bun exemplu la care putem face acum referire, având în vedere că, multe companii nu-l apreciază pe deplin), poate lăsa persoanele vizate vulnerabile pe termen lung în fața interfețelor manipulative și de limbaj și care le determină să facă alegeri nepotrivite privind prelucrarea datelor lor personale, fără a înțelege pe deplin consecințele. De asemenea, neînțelegerea pe deplin a numeroaselor baze legale disponibile companiilor, din cadrul GDPR, înseamnă că persoanele vizate ar putea fi rugate să accepte procesarea în circumstanțe complet inadecvate în cadrul GDPR. În plus, nivelurile scăzute de conștientizare pot pune persoanele vizate într-un dezavantaj deosebit atunci când fac plângeri împotriva organizațiilor, deoarece este puțin probabil ca acestea să fie conștiente de anvergura drepturilor legale care le sunt acordate sub GDPR.

Având în vedere atacurile cibernetice asupra sistemului de sănătate din România din ultimele săptămâni, ce pot face unitățile medicale pentru a se proteja împotriva atacurilor cibernetice?

GW: Din nefericire, recent a existat o tendință crescătoare de comitere a acestor atacuri cibernetice asupra instituțiilor medicale. Având în vedere câștigul potențial mare sub forma informațiilor pacientului sau a situațiilor financiare, instituțiile medicale sunt o țintă pentru hackeri. Instituțiile medicale care doresc să-și îmbunătățească securitatea și să se ferească de amenințări pot lua în considerare următoarele recomandări:

Identificați și evaluați vulnerabilitățile sistemului

Vulnerabilitățile se găsesc acolo unde hackerii pot obține acces in sistem și când pot introducere viruși pentru a vă încetini rețeaua, pentru a accesa informațiile critice de sănătate sau de a vă elimina softul de apărare, pentru a vă face sistemul mai accesibil în viitor. Această evaluare va oferi echipei dumneavoastră de Securitate toate informațiile necesare să analizeze și să prioritizeze riscurile.

Aflați mai multe despre ransomware (tip de software rău intenționat conceput să blocheze accesul la un sistem informatic până la plata unei sume de bani) și creați o politică de apărare

Atacurile ransomware amenință să blocheze un computer sau o întreagă rețea dacă nu este plătită o anumită sumă de bani. Când se întâmplă un astfel de incident, aplicarea unor politici și proceduri corespunzătoare poate fi foarte valoroasă. Angajații trebuie să știe ce trebuie să facă (adică să nu încerce să rezolve singuri problema) și pe cine să contacteze (de exemplu, departamentul IT); acest lucru ar trebui să facă parte din instruirea lor în materie de securitate și de conștientizarea generală asupra securității.

 Protejați datele de sănătate pe dispozitivele inteligente

Unitățile medicale dețin echipamente electronice foarte mult conectate, cum ar fi pompele de perfuzie sau de monitorizare insulină, care sincronizează de la distanță informațiile pacientului direct la tableta medicului sau la stația de lucru a unei asistente medicale. Toate aceste dispozitive ar putea fi atacate, perturbate sau dezactivate cibernetic, ceea ce ar putea afecta dramatic îngrijirea pacientului. Dispozitivele medicale conectate, în mod special, ar trebui monitorizate și să dețină protecție anti-virus, firewall-uri sau sisteme de apărare similare.

Luați în considerare migrația cloud

Clud-ul poate oferi o soluție sigură și flexibilă de stocare și salvare a datelor de asistență medicală. Soluțiile de salvare de rezervă și recuperare în caz de dezastre asigură ca înregistrările pacienților să rămână disponibile chiar și în cazul unei breșe sau a unei perioade de nefuncționare. Combinat cu opțiunea de control a accesului la date, astfel de soluții pot oferi securitatea atât de necesară.

Asigurați-vă că furnizorii sunt conformi

Unitățile de asistență medicală ar trebui să solicite furnizorilor să ia măsuri pentru a monitoriza și detecta amenințările și să limiteze accesul la sistemele lor. În calitate de operatori de date, instituțiile de asistență medicală trebuie să se asigure că societățile lor de asigurări, furnizorii de infrastructură și orice alți parteneri de afaceri din domeniul sănătății au sisteme de securitate impecabile pentru a putea proteja informațiile medicale.

Este esențial ca persoanele să identifice prelucrarea ilegală a datelor pentru a-și putea exercita drepturile. Cât de important este să-ți cunoști drepturile, atât timp cât nu poți identifica procesarea ilegală? Care ar trebui să fie focusul campaniilor de informare pentru oameni?

GW: Dreptul la protecția datelor este un drept fundamental al omului, consacrat în mai multe cărți privind drepturile omului. Spiritul GDPR este de a proteja persoana vizată și de a-i acorda un control mai mare asupra datelor sale personale. Drepturile individuale nu sunt concepute pentru a reacționa la prelucrarea ilegală a datelor - există o serie de drepturi gazdă care permit diferite tipuri de lucruri, de la solicitarea corectării informațiilor la ștergerea datelor. Fără o conștientizare a diferitelor tipuri de drepturi acordate de GDPR, acestea pot pierde o mare parte din obiectivul propus. Prin urmare, pentru societate în ansamblu, autoritățile pentru protecția datelor ar trebui să se concentreze asupra promovării gradului de conștientizare a drepturilor individuale de a proteja informațiile cu caracter personal și asupra a ceea ce pot face dacă consideră că acest aspect nu este întrunit. În contextul ocupării forței de muncă, angajatorii pot utiliza cursurile de e-learning ca o soluție eficientă din punct de vedere al costurilor și de economisire a timpului pentru a crește gradul de conștientizare și de a educa angajații a căror slujbă implică prelucrarea și stocarea datelor cu caracter personal.

Cine considerați că ar trebui să se implice mai mult în diseminarea importanței datelor personale? Instituțiile publice, autoritățile naționale de supraveghere sau ONG-urile pentru protecția datelor?

GW: Cred că toate părțile interesate joacă un rol în răspândirea mesajului de protecție a datelor cu caracter personal - de la instituțiile și organizațiile care procesează cantități mari de date cu caracter personal până la autoritățile naționale de reglementare în materie de protecție a datelor, care sunt însărcinate cu responsabilitatea pentru protejarea drepturilor de protecție a datelor. Cu toate acestea, importanța campaniilor active de sensibilizare a opiniei publice din partea autorităților de reglementare nu poate fi subestimată, deoarece aceste organisme promovează respectarea prin orientare, supraveghere și executare a GDPR.

Care sunt cele mai bune exemple de campanii de sensibilizare cu privire la importanța datelor personale pe care le-ați văzut recent?

GW: Campania "Datele dvs. contează" organizată de către ICO - biroul comisarului britanic pentru informații ", consider că a fost un proiect deosebit de eficient pentru a ajuta oamenii să înțeleagă modul în care își pot exercita drepturile referitor la datelor lor, utilizând materialele de publicitate. Ceea ce îmi place este că ICO folosește mai multe canale și aplicații media sociale pentru a comunica GIF, mini-filme și linkuri către resurse utile și sfaturi privind protecția datelor. Filmele lor o includ adesea pe doamna comisar - Elizabeth Denham, fapt care consider că este o modalitate foarte eficientă de personalizare a autorității de reglementare.

Credeți că amenzile au un rol important în aplicarea GDPR? Din experiența dvs. practică, cei mai mulți operatori respectă GDPR din răspundere sau de teama de amenzi?

GW: Aceasta este o întrebare tipică acum, mai ales în lumina anunțurilor de intenție ale ICO de a amenda British Airways și Marriot Hotels în cuantum de aproximativ 300mil.£. Sancțiunile financiare vor avea întotdeauna un rol de jucat în conformitate cu orice lege, în special în cazul în care legea GDPR în cauză și-a arătat colții pe care i-am văzut că îi are. Cred că conformitatea este determinată de mai mulți factori dintre care doar unul are potențial pentru sancțiuni financiare. Companiile care demonstrează că respectă și protejează datele personale ale clienților lor pot obține un avantaj competitiv pe piață. Trebuie reamintit faptul că mai multe dintre cele mai importante autorități ale UE pentru protecția datelor, inclusiv Comisia irlandeză pentru protecția datelor, au afirmat că abordarea lor privind supravegherea respectării legii este una de colaborare, consultare și educație, mai degrabă decât pur punitivă.

Ce inseamna aceasta prima amenda GDPR în Romania (articolul 25, 130.000 de euro)? Ce sfat acordați operatorilor pentru a evita investigarea și eventual amendarea de către autoritate?

GW: Recenta amendă UniCredit a fost una interesantă. Amenda subliniază principiul GDPR de confidențialitate by design și arată modul în care autoritatea de reglementare din România îmbrățișează noile tehnologii și obligațiile de conformitate. Din punct de vedere practic, cred că această amendă ar putea fi începutul unei abordări mai agresive a autorităților de reglementare din România în ceea ce privește respectarea normelor GDPR. Într-adevăr, cea de-a doua amendă de 15.000 EUR este recent emisă către World Trade Center București. Aceste două amenzi pot însemna pregătirea autorității de reglementare de a trece de la clemență la o aplicare activă.

Credeți că instituțiile publice ar trebui să fie un exemplu pentru restul operatorilor? Punem această întrebare deoarece în România avem un tratament preferențial pentru instituțiile publice, amenda maximă pentru nerespectarea GDPR este de 200.000 de lei (aproximativ 42.000 de euro), mult mai mică decât ceea ce riscă operatorii privați. Este o practică generală la nivel european?

GW: Alte autorități de reglementare din UE au adoptat o abordare similară prin care autoritățile publice sunt supuse unor amenzi maxime mai mici decât cele din sectorul privat. De exemplu, în Irlanda, Legea privind protecția datelor 2018 plasează orice amendă împotriva unui organism public la 1 milion de euro, cu mult mai mare decât ceea ce reprezintă în prezent legea din România. Ceea ce este interesant este că guvernul irlandez a încercat inițial să scutească organele din sectorul public în întregime de amenzi, dar a respins următoarele preocupări exprimate de comisarul pentru protecția datelor. Cu toate acestea, din motive de obiectivitate și echitate, această limită nu se aplică organismelor publice care concurează pe piața bunurilor și serviciilor. Ideea este că, în ceea ce privește protejarea drepturilor fundamentale, în mod cert, sunt solicitate standard înalte de către organismele publice care ar trebui să acționeze ca un exemplu pentru toate organizațiile.

Cum credeți că ar trebui să se comporte un utilizator de internet dacă este conștient de riscurile pe care le ascunde Internetul?

GW: Personal, nu simt că utilizarea internetului meu s-a schimbat atât de mult de la intrarea în vigoare a GDPR, de exemplu, dar poate sătul puțin de bannere despre cookie-uri pe fiecare site. Elementele de bază se aplică în continuare la fel de mult ca și până acum- dacă pare suspect, șansele sunt să fie. Sfaturile mele sunt: ​​asigurați-vă că utilizați o conexiune securizată de internet (VPN); limitați cantitatea de date cu caracter personal pe care le transmiteți site-urilor web, în ​​special în cazul în care vi se solicită informații pentru care site-ul nu deține un motiv real pentru a le colecta; folosiți parole puternice; cumpărați doar articole online de pe site-uri sigure; păstrați software-ul anti-virus și fiți atenți la ceea ce descărcați.

Accesul copiilor la Internet este deja normal. Ar trebui să ne îngrijoreze asta? Credeți că educația privind accesul copiilor la Internet ar trebui să fie o sarcină pentru părinți sau ar trebui sistemul educațional să își asume acest rol?

GW: Cred că amândoi au un rol în acest sens. Am primit prima mea "cărămidă" de telefon mobil Nokia când aveam 13 ani, cu care puteam să trimit mesaje text, să fac apeluri și să mă joc Snake - asta a fost tot. Derulați rapid înainte 20 de ani și găsiți copii cu mult mai mici de 13 ani, care au telefoane inteligente cu care pot face tot felul de lucruri și pot accesa toate tipurile de informații. Părinții cumpără telefoane atât de natural copiilor, încât trebuie să-și asume un grad de responsabilitate pentru educarea acestora în privința utilizării în siguranță a internetului. În același timp, școlile încorporează din ce în ce mai mult sistemul informatic în sistemul de învățământ, astfel încât și ei trebuie să se angajeze să răspândească mesajul despre utilizarea în siguranță a internetului. Consider că internetul este un lucru și  bun și rău pentru copii; pe de o parte, abilitatea copilului de a învăța este practic nelimitată, prin accesul la internet, iar cercetările arată că cei cu acces la internet învață să citească mai devreme și mai bine, să-și câștige încrederea în sine și să rețină mai bine informațiile decât prin învățarea tradițională. Pe de altă parte, fără supraveghere, internetul poate fi un loc periculos și subversiv. Totul se învârte în jurul unei utilizări sigure.

Care sunt sfaturile pe care le puteți oferi unei persoane vizate și unui operator?

GW: Pentru organizații, accentul trebuie acum pus pe conformarea continuă:

1. Întoarceți-vă și examinați-vă notificările privind confidențialitatea - amenda Google din Franța s-a bazat în mare măsură pe faptul că autoritatea de reglementare a constatat că politicile Google privind persoanele vizate sunt opace, nu sunt ușor de evaluat și se răspândesc în prea multe locații.
2. Unele autorități de reglementare (de exemplu ICO din Marea Britanie) elimină cerințele locale de înregistrare și plată a taxei anuale. Urmăriți acest lucru
3.  Viitorul unor mecanisme de transfer în țări terțe (clauze contractuale standard și "Shield Privacy") este în prezent îndoielnic. Începeți să evaluați alternative viabile, cum ar fi BCR etc.
4. Autoritățile de reglementare iau foarte serios nerespectarea drepturilor persoanelor vizate. Politicile și procedurile DSAR trebuie să fie în actualizate - încercați să le și perfecționați frecvent.
5. De mai mult de un an de la intrarea în vigoare a GDPR, s-ar putea să fie timpul să oferim angajaților un curs de perfecționare, în special în lumina extinderii activității recente de reglementare.
6. Nu lăsați GDPR să înăbușe oportunitățile de inovare, dar întotdeauna să aveți în vedere protecția datelor atunci când elaborați sau implementați un nou proces. Este mai ușor să încorporați confidențialitatea într-o arhitectură de sisteme de la început decât să încercați să modernizați mai târziu.

 Pentru persoanele vizate:

1. GDPR vă recomandă să aveți un control asupra informațiilor dumneavoastră cu caracter personal și vă oferă o serie de drepturi puternice care vă permit să faceți acest lucru. Nicio companie nu este proprietară a datelor dvs., trebui să știți întotdeauna ce se întâmplă cu ele.
2. Respectarea și protecția datelor dvs. personale este un drept fundamental al omului și un drept care va fi impus organizațiilor de către o autoritate de reglementare independentă.
3. Aveți întotdeauna dreptul de a depune o plângere la autoritatea locală pentru protecția datelor cu privire la ceea ce face o organizație cu datele dumneavoastră.

Regulamentul General privind Protecția Datelor (GDPR-General Data Protection Regulation) a apărut pentru a oferi un grad de control într-o lume dominată de tehnologie, iar conformarea la acest Regulament nu înseamnă altceva decât crearea cadrului în care datele cu caracter personal și special ale pacienților să fie protejate. Atacurile cibernetice asupra spitalelor din România demonstrează vulnerabilitatea sistemului sanitar în fața avansului tehnologiei, dar și lipsa de interes și implicare a conducerii spitalelor pentru a avea un plan de conformare adecvat, pentru că incidentele de securitate trebuie văzute ca o chestiune de regulă, apar ca urmare a nerespectării unui soi de disciplină într-un anumit domeniu. În sistemul sanitar românesc gradul de conformare GDPR se află sub pragul de 15%, atrage atenția Marius Dumitrescu, președintele Asociației Specialiștilor în Confidențialitate și Protecția Datelor (ASCPD). Într-un interviu acordat Revistei Health, președintele ASCPD a oferit mai multe detalii despre riscurile neconformării GDPR, care sunt vulnerabilitățile, dar și care ar fi măsurile necesar a fi implementate pentru protejarea datelor pacienților.

A trecut mai mult de un an de la aplicarea Regulamentului UE 679/2016 și în România vorbim deja  de breșe de securitate în sistemul sanitar. Din acest fapt se poate deduce că sistemul încă nu este pregătit întru totul pentru protejarea datelor cu caracter personal?

MD: Spitalele sunt o țintă a atacurilor ransomware în toată lumea, nu doar în România. Foarte multe astfel de incidente au fost raportate de spitale și înainte de 25 mai 2018, dar în ultimii ani am observat că specialiștii vorbesc despre o creștere exponențială a numărului de cazuri. Sunt trei întrebări la care autoritățile române și managerii spitalelor trebuie să găsească răspunsuri cât mai curând: ”de ce sunt vizate spitale din România?”, ”de ce sunt
așa de multe incidente în domeniul sanitar?” și, poate cea mai importantă întrebare, ”putem evita să devenim ținta unui atac cibernetic?”.

Ransomware-ul este un virus sau mai bine spus un software malițios care blochează accesul la fișierele stocate într-un sistem informatic, solicitând plata unei sume de bani în schimbul redobândirii accesului la acestea. De cele mai multe ori, fișierele criptate de malware nu pot fi decriptate nici după efectuarea plății către atacatori. Acest tip de malware nu urmărește o vulnerabilitate a sistemului informatic ci o eroare umană, de cele mai multe ori fiind transmis ca atașament al unui e-mail, sub forma unei facturi, a unei comenzi sau alt tip de document, păcălind astfel utilizatorii mai puțin conștienți sau vigilenți. Interesant este faptul că acest tip de malware nu ar fi putut depăși filtrele antivirușurilor existenți pe piață, ceea ce subliniază o primă problemă din spatele acestui atac în spitalele din România: spitalele atacate nu aveau sisteme antivirus actualizate, iar angajații acestora nu au fost instruiți cu privire la  identificarea unor asemenea atacuri.

La o analiza mai atentă a infrastructurii din domeniul sanitar românesc identificăm încă un număr mare de echipamente conectate care nu beneficiază de ultimele patchuri de securitate sau chiar folosesc sisteme de securitate care nici măcar nu mai sunt actualizate de producători. De exemplu Windows XP, care nu mai beneficiază de suport și actualizare din partea Microsoft este folosit în continuare pe scară largă în sistemul sanitar românesc, făcând posibilă funcționarea aparatelor de radiografii dentare, RMN-uri sau CT-uri. Prin infectarea unuia dintre aceste computere cu sistem de operare învechit se poate infecta apoi foarte simplu întreaga rețea.
Evident, ne întrebăm de ce nu sunt așa de ușor de înlocuit aceste sisteme de operare învechite și răspunsul ar trebui sa îl căutăm fie la producătorii de echipamente medicale care ar trebui să actualizeze gratuit softurile de interfață cu echipamentul astfel încât să funcționeze în aceiași parametrii și pe sistemele de operare mai noi, fie la managementul unităților medicale care au amânat investițiile în sisteme noi de operare din lipsă de fonduri sau pur și simplu pentru că echipamentele funcționează normal, chiar dacă sunt vulnerabile în fața atacurilor cibernetice.

Ce tip de malware a infectat sistemele din spitalele românești?

MD: În urma unei investigații derulate de specialiști în securitate cibernetică din cadrul CERT-RO, Cyberint și Bitdefender, s-a constatat că formele de malware responsabile de atacurile cibernetice recente asupra unor spitale din România au fost Maoloa și Phobos. Acești doi malware nu sunt o noutate absolută, Maoloa fiind prima dată descoperit în februarie 2019, iar Phobos era cunoscut încă din decembrie 2018.

ASCPD a tras un semnal de alarmă încă de la începutul anului 2019, în urma sondajului „GDPR in HEALTH România” realizat în decembrie 2018.  Astfel, ASCPD a semnalat atunci faptul că 37,44% dintre instituțiile sanitare cuprinse în analiză s-au confruntat cu incidente de securitate și cu toate acestea 73,85% din total nu au implementat un plan de reacție la incidentele de securitate. 70,26% încă foloseau adrese de email @yahoo.com sau @gmail.com în interes profesional în interiorul rețelei, expunând astfel organizația unor riscuri care pot fi evitate. Mai mult, 11,28% nu aveau implementate sisteme tehnice de protecție antivirus, cel mai des invocând lipsa fondurilor. Fiecare organizație, nu doar cele din domeniul sanitar, trebuie să implementeze un plan de răspuns la incidente de securitate prin care să identifice și să descrie rolurile și responsabilitățile echipei de răspuns în cazul unei breșe de securitate și apoi să realizeze simulări practice pentru a testa modul de reacție a angajaților în cazul unui atac cibernetic.

Securizarea datelor pacienților este importantă într-un sistem de sănătate. De ce în spitalele publice din România nu s-au luat obligatoriu măsuri pentru a proteja aceste date?

MD: Accesarea datelor pacienților este crucială pentru îndeplinirea actului medical. Astfel, în urma atacului cibernetic din iunie 2019, sute de pacienți români nu au putut beneficia de serviciile medicale în spitalele afectate, fiind invitați să revină ulterior sau încurajați să apeleze la serviciile altui spital. Recunoașterea valorii acestor date de către ministrul Sănătății este un cuțit cu două tăișuri.

Deși semnalul era orientat spre mobilizarea instituțiilor medicale în vederea prevenirii altor atacuri, atunci când afirmi că “10.000 de euro sunt nimic față de datele stocate acolo”, recunoscând că în trecut s-a optat pentru plata recompenselor solicitate de atacatori pentru decriptarea datelor, acest mesaj poate fi perceput de atacatori drept o încurajare de a continua atacurile și de a solicita recompense mult mai mari.

Recuperarea datelor, fie că este realizată de specialiști în IT sau prin achitarea recompensei solicitate de atacatori, este mult mai costisitoare decât adoptarea măsurilor de securitate necesare prevenirii unor asemenea atacuri. În totală contradicție cu mesajul ministrului Sănătății, instituțiile și companiile cu competențe în domeniul securității cibernetice, printre care CERT-RO, Cyberint și Bitdefender, sfătuiesc utilizatorii infectați “să nu plătească atacatorilor taxele de decriptare solicitate”.

Plata recompensei nu reprezintă o garanție că infractorii își vor onora promisiunea și le vor reda accesul la date și, în plus, ar putea fi țintite din nou de aceeași grupare, întrucât au deja un istoric de buni platnici. Echipa CERT-RO îndeamnă fiecare operator să raporteze astfel de incidente de securitate la numărul de telefon 1911 sau pe mail (alerts@cert.ro), cu includerea a două fișiere infectate (criptate) pentru analiză. Se recomandă să fie atașate acele fișiere într-o arhivă, protejate cu o parolă, care să fie specificată în textul mesajului.

După atacul cibernetic asupra spitalelor Ministerul Sănătății a emis o adresă prin care a informat unitățile spitalicești ce măsuri trebuie luate pentru a preveni atacurile cibernetice, recomandări emise inițial de CERT-RO. ASCPD a atras atenția că pe lângă cele recomandate de CERTRO ar mai fi nevoie de o serie de măsuri, necesar a fi implementate. Despre ce este vorba?

MD: Apreciem ca foarte importante aceste recomandări, însă atragem atenția că  prevenirea atacurilor cibernetice nu ar trebui să se limiteze la această listă, motiv pentru care am mai sublinia câteva măsuri importante: auditarea sistemelor IT în vederea identificării vulnerabilităților; implementarea unor politici clare privind prelucrarea datelor personale; criptarea datelor stocate pe dispozitivele mobile (laptop, tabletă, memorii USB) pentru
a împiedica accesarea datelor în caz de pierdere sau furt; criptarea datelor personale transmise prin e-mail; interzicerea accesării datelor de pe CD, DVD, stick-uri USB sau altele asemenea, dacă provin din surse nesigure; echipamentele de lucru care stochează date personale vor fi parolate, vor fi blocate atunci când nu vor fi utilizate (ctrl+alt+del → lock this computer); asigurarea unui sistem de management al accesului, astfel încât fiecare utilizator să se logheze la echipamentul de lucru cu user și parolă proprii.

Una dintre cele mai importante aspecte pe care nu am regăsit-o în adresa Ministerului este necesitatea instruirii personalului. Un personal instruit va fi mult mai vigilent, va identifica eventuale pericole și va cunoaște procedurile pe care trebuie sa le urmeze pentru a identifica, semnala sau limita efectele unui atac cibernetic.

Conștientizarea pericolelor în domeniul securității este o parte esențială a formării angajaților și este cel mai eficient mod de a menține companiile în siguranță, de la intruși și hackeri. Procesul de digitalizare atrage după el și metode tehnice avansate de securitate, care cresc gradul de protecție al vieții private, dar trebuie să conștientizăm în primul rând că cea mai mare vulnerabilitate în cadrul unei organizații este chiar resursa umană. Este nevoie de educație a personalului mai mult decât de investiții mari în soluții tehnice de securitate.

Dincolo de educația personalului cât este de important ca operatorul de date, în cazul spitalelor, managerii, să renunțe doar la a căuta soluții formale și să aleagă complianța la GDPR personalizând implementarea acestui Regulament pe unitatea pe care o conduce?

MD: În tot acest GDPR este vorba despre oameni, sau mai bine spus despre NOI! Nu este vorba despre creşterea birocraţiei şi despre proceduri sufocante. Este vorba despre respectul pe care trebuie să îl acordăm şi să îl obţinem unii de la ceilalţi, respect de care am uitat datorită banilor obţinuţi prin tranzacţionarea datelor personale şi a informaţiilor confidenţiale, efect direct al evoluţiei exponenţiale a tehnologiei.

Noi, ca operatori de date, trebuie să renunţăm la a mai căuta soluţii formale. Complianţa GDPR nu se obţine apăsând butonul „Print“, orice operator care alege această cale rămâne la fel de expus riscurilor. Spitalele din România sunt atacate pentru că sunt vulnerabile și este profitabil având în vedere valoarea informațiilor și caracterul sensibil și mai ales precedentele create prin plata rascumpărării accesului la date. Putem evita aceste incidente dacă în
primul rând renunțăm la mentalitatea că “mie nu mi se poate întâmpla” și investim în instruirea resurselor umane, implementând planuri și proceduri de lucru în caz de atac cibernetic și alocând fonduri pentru a impune măsuri adecvate de protecție tehnică și organizatorică.

După data de 25 mai 2018, au fost aplicate amenzi pentru neconformare în spitalele din Europa?

MD: Spitalul Haga din Olanda a fost amendat în acest an pentru neasigurarea unui grad adecvat de securitate a datelor pacienților săi., cu suma de 460.000 euro. Spitalul Barreiro din Portugalia a primit o amendă de 400.000 euro pentru incapacitatea de a asigura confidențialitatea și integritatea datelor din sistemul lor. În urma investigației s-a constatat că angajații spitalului au avut acces la datele pacientului prin profiluri false.

Participați frecvent la conferințe GDPR organizate la nivel European. Din informațiile prezentate care este gradul de implementare al GDPR în alte țări din Europa și cum stă România la acest capitol?

MD: Procentul de operatori care au adoptat și implementat principiile GDPR este greu de calculat cu exactitate, dar având în vedere că numai în domeniul public avem peste 42.000 de autorități, toate cu obligația de a fi implementat deja măsuri tehnice și organizatorice, și cunoscând sistemul sanitar din ultimii 18 ani, estimez că gradul de implementare nu a depășit procentul de 15%. Putem, în schimb, să analizăm poziția țării noastre din punct de vedere al notificării breșelor de securitate și a investigațiilor derulate de autoritățile de supraveghere europene. România este extrem de departe de media europeană în ceea ce privește plângerile privind prelucrările ilegale de date personale. De exemplu, în perioada cuprinsă între 25 mai 2018 și până în februarie 2019 la nivelul UE au fost raportate nu mai puțin de 59.000 de breșe de securitate. Campioni la acest capitol au fost olandezii, cu 15.400 breșe notificate, în timp ce România număra la acea vreme doar 270. Analizâd această situație am găsit două răspunsuri posibile: ori noi, românii, suntem un popor norocos și atacurile cibernetice ne evită, ori nu recunoaștem o breșă de securitate nici dacă ne împiedicăm de ea.

Mai mult, din Raportul European Data Protection Board, care cuprinde datele înregistrate de autoritățile de supraveghere în primele 9 luni de la aplicarea GDPR-ului, aflăm că autoritățile europene de supraveghere au deschis în total 94.622 de investigații, din care aproape 65.000 au survenit în urma notificărilor privind încălcarea datelor (a breșelor de securitate). În România s-au efectuat 460 de investigații din oficiu (69 din sesizări și 391 în urma
încălcărilor notificate autorității) și 456 de investigații dispuse în urma plângerilor persoanelor vizate, care erau aproximativ 5000.

Unul dintre motivele pentru care avem acești indicatori este bugetul Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal care este cu aproape 50% mai mic decât necesarul estimat de EDPB și în al doilea rând schema de personal a autorității care este mult subdimensionată, necesitând o suplimentare de 142%. Conform datelor oferite de reprezentantul autorității, chiar dacă în orgnigramă sunt prevăzute 85 de posturi, structura organizatorică actuală numără 34 de angajați, cu tot cu șoferi și personal TESA. Apreciez că a fost o muncă titanică să efectuezi acest număr de investigații cu un așa număr redus de persoane angajate în cadrul Autorității.

Adriana Ceaușescu este Ofiter Securitatea Informatiei si Protectia Datelor pentru companii din domeniul Asigurarilor si Sanatatii și a urmat cursurile IAPP, participând totodată la intocmirea codului de conduita în domeniul asigurarilor, alaturi de cei mai experimentati profesionisti in protectia datelor din asigurari. În domeniul Securitatii Informatiilor este Auditor ISO 27001. Adriana Ceaușescu a făcut parte din echipa care a câștigat titlul de "GDPR Summer Challenge Champion" 2019 în cadrul competiției lansate și organizate de portalul dpo-NET.ro

Poveste-ne un pic despre tine ca persoană, ca experiență, despre proiectele sau realizarile din domeniul protecției datelor. 

AC: Numele meu este Adriana Ceaușescu, lucrez ca Data Protection Officer pentru o clinică, pentru un magazin online foarte cunoscut, o societate de asigurări și am mai multe proiecte de IMM și învățământ. Experiența mea din aceste domenii cumva m-a ajutat să pot să fac fata cerintelor situațiilor din concurs.

Când ai descoperit domeniul protecției datelor și cum?

AC: Lucrând în partea de marketing online și web development, practic m-am ocupat de tot ce ține de dezvoltare și de a avea o prezenta online corespunzătoare, am avut contact la un moment dat cu o companie care a fost sancționată pentru că nu folosea un modul de cookie, asta întâmplându-se înainte de 25 mai 2018, ziua din care GDPR-ul este aplicabil. Am stat și am analizat domeniul, m-am informat, am implementat acel modul, am început să citesc și să înțeleg legislația națională și europeană și de atunci practic pot să spun că am început să pun cărămidă cu cărămidă la specializarea mea în acest domeniu.

Ai avut tendința la început sa obții certificări naționale sau internaționale, ai participat la cursuri ?

AC: Sunt de părere că pentru a începe să lucrezi într-un domeniu atât de nou cum este protecția datelor trebuie să ai niște cursuri, o îndrumare. Într-adevăr am citit foarte multe documente, am studiat legislația, ghiduri, jurisprudența din domeniul protecției datelor, dar am ales să urmez cursurile IAPP, International Association of Privacy Professionals, respectiv certificările CIPP/E si  CIPM. La finalizarea acestor cursuri am dat și un examen care nu era cum am visat eu, din aspecte teoretice. Toata lumea știe cum se desfășoară cursurile din România, se predau la curs aspecte teoretice și când ajungi să implementezi, cand te lovesti de practică, ai o problemă. La fel au fost și cu examenele, pe care le-am picat și m-am hotărât să obțin această certificare după ce consider ca am acumulat destul de multă experiență încât să nu mai am emoții.

A fost demotivant momentul în care ai picat acel examen?

AC: Nu, pentru mine a fost un moment în care mi-am dat seama că degeaba știi teorie dacă nu cunoști practica și cred că tocmai asta ne separa pe noi, Responsabilii în protecția datelor de un avocat. Un DPO lucrează zi de zi, se lovește de situații, de moduri în care trebuie să implementeze cerințele Regulamentului, în timp ce un teoretician va ști mereu ce trebuie făcut doar la nivel de teorie.

Știu ca ești și membru al Asociației Specialiștilor în Confidențialitate și Protecția Datelor. Cum ai făcut acest pas? De ce ai luat decizia sa te înscrii în o asociație?

AC: Sunt membră pentru că îmi doream sa aparțin unei comunități de specialiști care pot să mă ajute atunci când am situații la care nu sunt sigură ce trebuie să fac și vreau să vă spun că avem grupuri pe rețele de socializare unde ne ajutam. Am o problemă și obțin imediat mai multe sfaturi de la colegi. De asemenea vreau să vă spun că în proiectele derulate de Asociație nu am avut mare implicare dar eu mă mândresc, promovez asociația ori de câte ori pot, la diferitele emisiuni radio sau TV la care am participat și în cadrul întâlnirilor cu alți DPO la care am participat, tot timpul dau exemplul Asociației „Veniți,  înscrieți-vă aici că veți obține sfaturi, informații și recomandări de la specialiști din domeniu, specialiști poate cu mult mai multă experiență decât aveți voi sau din industrii pe care voi nu le cunoști, specialiști cărora poți să le ceri sfaturi și care îți vor oferi soluții. 

A trecut mai mult de 1 an de zile de când se aplică acest Regulament European. Care crezi că a fost cea mai mare provocare în aceasta perioada ?

AC: În primul rând instruirea și conștientizarea angajatorilor la nivelul implementării cerințelor GDPR într-o companie. Am apoi am avut situații în care conștientizarea managementului cu privire la faptul că trebuie să aibă în vedere și să respecte cerințele Regulamentului lăsa de dorit. Nu poți aborda protecția datelor spunând „ asta vreau, asta nu vreau, respectarea GDPR-ului nu poate fi negociată. Apoi cred că modul de lucru în anumite compani mari, care au structuri greoaie, departamente care nu comunica, care practic sunt stat în stat. În altă ordine de idei în România observ că alegerea unui DPO este tratată superficial de manageri. Să luam o instituție publica ca exemplu, pentru ca aici am întâlnit cele mai multe situații de genul acesta, îi este mult mai ușor să numească un DPO formal, adică secretara, pe care o trimit la un curs și se așteaptă ca acea secretară să facă față tuturor situațiilor complicate. Luăm exemplul școlilor, în general secretara este DPO. Secretara nu știe ce să facă și nu mai afișează anumite informații pe care trebuia sa le afișeze la avizier, deși poți să ai soluții. Un DPO ar trebui sa vină cu soluții ca să poți să afișezi. Nu există conștientizare la nivel de top management, conștientizarea angajaților lipsește deseori și de foarte multe ori este dificil sa impui o cultura organizationala în ceea ce privește protecția datelor. Oamenii nu vor să mai facă și altceva pentru ca este un efort. Respectarea Regulamentului este un efort din partea angajatului în plus față de ce are de făcut și sunt cumva reticenți. Sper ca în următorul an sa găsim măsuri prin care să putem sa ameliorăm aceste discrepanțe.

Asta era următoarea întrebare, ce vezi util a se intampla în următorul an?

AC: Cred ca după un an, fiecare companie ar trebui să tragă linie și să vadă cum stă. Pur și simplu să-și facă un audit intern, o verificare. „Hai sa vedem cum stăm noi din punct de vedere al respectării Regulamentului. Suntem conformi,  unde avem probleme?”. Mă aștept ca aceasta analiză să fie făcută până la sfârșitul lui decembrie 2019, astfel incat la începutul lui 2020, începaâd din ianuarie, să repare acele probleme legate de implementare, pentru că sunt sigură ca nu exista companii 100% conforme din punct de vedere al GDPR-ului. La asta mă aștept. Să instruiască mai mult și să conștientizeze mai mult angajații, să facă simulări din punct de vedere al incidentelor de securitate și să le explice de ce este important să raporteze. Foarte mulți dintre angajați, nu știu dacă cum să recunoască și să raporteze un incident de securitate. Nu identifica faptul că, de exemplu, pierderea unui document, pe strada, fie ca este vorba de document fizic sau nu, este breșă și trebuie să o raporteze superiorilor. Nu le taie nimeni capul dar incidentul trebuie raportat, trebuie analizat, ca să împiedici riscul de a fi amendat și riscurile de a încălca drepturile unei persoane vizate.

Cum ai descoperit acest concurs care s-a desfășurat în august, organizat de dpo-net?

AC: Pai, în primul rând că sunt foarte activă și citesc toate informațiile care îmi vin prin social media și online. Sinceră să fiu chiar îmi doream de mult un asemenea exercițiu, să pot să testez și eu cum aș face într-o anumită situație, cum as reacționa în altă situație. Așa am descoperit, prin intermediul internetului. Concursul în sine dar și organizarea lui pot să  spun că merită toate laudele. Ideea a fost fantastică și vă mai spun ceva, am avut o situație în concurs cu privire la acordarea unor informații către poliție. Ei bine, vreau să vă spun că aceeași situație s-a întâmplat în practica, pentru mine la câteva zile distanță. Am avut o asemenea solicitare adresată unei companii unde activez ca Data Protection Officer și cumva m-a bufnit râsul pentru că deja știam ce să fac, cum sa fac, totul a decurs fără nici o problemă. M-am bucurat, zic ”uite, am o practică, am o experienta, știu cum să aplic, nota 10”.

Cum a fost experinta concursului? A fost dificil? Cat timp ti-a luat? Cum a fost să-ți cunoști echipa?

AC: Cu ocazia participarii la concurs m-am hotarat sa îmi iau concediu, mai mult decat ar fi trebuit. Era și perioada vacanței prelungite, când toată lumea stătea la mare sau se plimba, iar eu mă trezeam de dimineață și vroiam să văd ce provocări am primit ca să pot să reacționez, să pregătesc împreuna cu echipa documentele pe care trebuia sa le avem pentru a lua măsurile ce se impuneau. N-a fost ușor, deci n-a fost ușor deloc, dar uite că împreună cu colegii mei am reușit să facem cât mai bine cu putință față unor situații legate de GDPR. 

Care a fost cea mai mare lecție pe care ai primit-o în relația cu colegii tai?

AC: În primul rând, să lucrez în echipă. Eforturile din punct de vedere al GDPR-ului sunt eforturi de echipa, un DPO trebuie sa învețe să lucreze împreună cu juridicul, împreună cu IT-ul, împreună cu managerul de resurse umane, cu top managementul, trebuie să știe să-și formeze o echipa și atunci pentru mine a însemnat foarte mult. În unele situații nu eram de acord cu colegii mei dar văzându-le elanul am zis ok, e de preferat să fim o echipa și fiecare ne împarțeam task-urile, am lucrat foarte bine cu ei. Culmea, nu știam cine sunt, de unde sunt și am aflat ulterior concursului  că unul dintre coechipieri merge la aceeași sală de fitness cu mine și mai mult decât atât locuiește în orașul în care locuiesc eu.

Trebuie să menționâm că  echipele au fost alese aleatoriu și nu se cunoșteau înainte și nici jurații nu au jurizat în cunostinta componenței echipelor.  Ce înseamnă pentru tine titlul de GDPR Summer Challenge Champion?

AC: Vă spun sincer că nu m-am așteptat. Am făcut greșeli în timpul concursului, mi-am și dat seama apoi, deci au fost și din partea noastră niște scăpări. E normal, nu suntem perfecți, suntem perfectibili. Pentru mine, concursul aceasta înseamnă multă experiență acumulată, înseamnă a învăța cum să lucrezi cu o echipă, a învăța să delegi task-uri și mai mult decât atât, am învățat că este importantă practica. Este importantă experiența pe care o câștigi, mai mult decât teoria. Degeaba mergi la un curs dacă nu practici ceea ce înveți la curs. Teoria trebuie aplicată iar aplicabilitatea ei este mai dificilă.

Mai ții legătura cu colegii tai de echipa?

AC: Da, clar! Vă spuneam că unul dintre colegii de echipa este coleg cu mine la sală, ne-am și întâlnit la sală și am hotărât să ieșim, împreună cu alți specialiști din domeniu, să discutăm despre proiecte, despre situația GDPR din țară și din domeniile în care activăm. Cu celelalte colege avem un grup pe Facebook, ne mai trimitem situații mai cerem păreri „uite am situația asta, ce trebuie să fac?” și fiecare vine cu recomandări. Da, ținem legătura, de asemenea și pe platforma pe care concursul s-a desfășurat sunt discuții, avem informații, mai vin și studii de caz. Ținem legătura și m-ar bucura să rămână comunitatea stransa și în jurul  platformei online construite.

Concluzionând, ce sfat ai avea pentru o persoana vizată și ce sfat ai avea pentru un reprezentant al unui operator, unul din top management?

AC: În primul rand, persoanele vizate ar trebui să înțeleaga ca datele lor cu caracter personal înseamnă bani, sunt o valută, au o valoare toate datele și atunci, de fiecare dată când li se solicită aceste date cu caracter personal, să se întrebe de ce. „De ce aveți nevoie de copie după cartea mea de identitate?”. Este acea teorie a celor 5 „De ce” ca să ajungi la adevăratul scop.

O teorie pe care copii mici o știu foarte bine.. 

Da, și pe care noi adulții o uităm. Deci, în primul rând să fie conștienți că datele lor reprezinta o valoare și să își cunoască drepturile. Au drepturi prin GDPR  și știu că foarte mulți români sunt supărați pe bănci, poate nu ar trebui sa spun, dar când te duci ți se face o copie după cartea de identitate care, în unele situații înseamnă prelucrare abuzivă. Dacă schimbă mai puțin de 3000 de euro nu se încadrează la a fi frauda. Nu ne vom putea opune, dar ar trebui să întrebăm de ce.

Pentru operatori, să înteleagă că nu este la latitudinea lor, ca vor sau nu vor. Respectarea cerințelor Regulamentului este o obligativitate, ai obligația aceasta și nu poți să o faci formal. Niște hârtii nu-ți rezolva partea de respectare a datelor cu caracter personal ci trebuie să se implice și dacă nu exista implicarea top managementului atunci proiectul acesta nu va avea succes de la început. Top managementul trebuie conștientizat. Trebuie să înțeleagă importanța respectării drepturilor persoanelor vizate și protejarea datelor cu caracter personal. 

Ce sfaturi ai pentru specialiști și viitorii specialiști în protecția datelor ?

AC: Niciodată să nu te oprești din învățat, niciodată să nu te oprești din citit, din documentat, niciodată să nu te oprești din a înțelege industriile în care activezi, sa le înțelegi specificul, să le înțelegi legislația și să te întâlnești cu specialiștii din domeniul respectiv. Adică dacă lucrezi în domeniul medical, discută cu medicii, vezi care sunt problemele pe care le au ei, explică-le și tu. Eu chiar fac pentru medicii cu care colaborăm pastile video de 5 minute, odată pe săptămână am o pastila video care se pune în sala de mese. 5 minute le ia, cât mănâncă se pot uita. Adică pe deoparte să conștientizeze iar pe de alta parte să nu înceteze niciodată să se documenteze, să învețe tot timpul pentru că este un domeniu în care dacă nu ții pasul nu poți să faci față. Lucrurile se schimbă foarte, foarte rapid.

Mai  este un mesaj la care eu țin foarte mult, ținând cont că a început școala, m-aș bucura ca toți copii, cadre didactice, părinți, să înțeleagă că și minorii au drepturi, să înțeleagă că pozele pe care noi le punem pe Facebook cu copii noștri ar trebui limitate. Ar trebui sa nu mai partajăm atât  de multe informații despre ei. Au drepturi și trebuie sa le respectăm datele lor cu caracter personal. 

Aștept următoarea ediție, GDPR Winter Challenge din ianuarie 2020, să vedem cat de solicitantă va fi!