În urma diferitelor discuții purtate cu colegi și colaboratori DPO au reieșit câteva dintre condițiile dificile în care își desfășoară activitatea unii dintre aceștia și, din provocările cu care se confruntă au rezultat următoarele constatări:
- Există opoziție din partea restului organizației,
- Volumul de muncă este masiv și în continuă creștere,
- Independența DPO este contestată,
- DPO-ul se confruntă cu lipsa suportului managementului pentru schimbarea situațiilor descrise anterior.
DPO, ca și garant al respectării dreptului fundamental al persoanelor fizice la protecția datelor cu caracter personal, este o componentă importantă a Regulamentului privind protecţia persoanelor fizice în ceea ce priveşte prelucrarea datelor cu caracter personal (679/2016 /GDPR).
Neînțelegerea de către operatori a acestui rol al DPO este un alt motiv pentru care acesta întâmpină dificultăți în îndeplinirea sarcinilor sale și în consolidarea poziției sale în cadrul organizației.
Acest specialist este desemnat de Regulament să protejeze/să asigure protecția datelor cu caracter personal ale persoanelor vizate, iar acest lucru reiese clar și din titulatura acestei funcții, fie că este denumit responsabil (într-o traducere neinspirată din limba engleză), fie că este denumit ofițer (DPO - Data Protection Officer). În relația sa cu operatorul, DPO are obligația de a se asigura că datele personale al persoanelor vizate nu sunt opționale, sunt prelucrate în condiții de securitate, iar obligația sa de a nu aviza favorabil prelucrări de date personale care ar încălca dreptul persoanelor la protecția datelor face ca, uneori, relațiile dintre aceste două părți să devină tensionate.
Rolul unui DPO asigură că operatorii de date sunt informați cu privire la riscurile legate de diferite activități de prelucrare, include consilierea cu privire la evaluările impactului asupra protecției datelor (DPIA), supravegherea acurateței cartografierii datelor, instruirea personalului și răspunsul la cererile de acces ale persoanelor vizate (DSAR), iar un DPO capabil este tocmai punctul de echilibru al unui program de protecție a datelor de succes.
Organizațiile care promovează o cultură a conformității datelor se află în avantaj competitiv într-o lume în care confidențialitatea și protecția datelor contează mai mult decât oricând. Pentru cei care nu fac acest lucru, riscurile financiare, juridice și reputație pot fi semnificative.
Tocmai din această perspectivă a provocărilor tot mai complexe, DPO nu ar trebui să rezolve problemele în mod individual. În schimb, autoritățile vor trebui să își asume un rol activ în îmbunătățirea condițiilor pentru DPO, oferind îndrumări clare și explicite cu privire la chestiuni practice și prin aplicarea sancţiunilor în cazurile de încălcare a Regulamentului și/sau al breșelor de securitate.
Rolul DPO în evaluarea impactului și interpretarea legilor privind protecția datelor
Articolul 38 din GDPR prevede ca atât operatorul cât și persoana împuternicită să se asigure că DPO este „implicat, în mod corespunzător și în timp util, în toate aspectele legate de protecția datelor cu caracter personal”. Acest lucru implică faptul că DPO nu este consultat doar ocazional sau post factum (când apar incidente de securitate sau când sunt de procesat cereri ale persoanelor vizate pentru exercitarea drepturilor acestora), ci și ante factum, pentru ca aspectele legate de protecția datelor cu caracter personal să fie avute în vedere și luate în considerare înainte de desfășurarea unor activități noi care presupun prelucrări de date cu caracter personal. Cu alte cuvinte, această consultare prealabilă a DPO și respectarea avizului acestuia înseamnă că se respectă, implicit și principiul privacy by design al activității de prelucrare a datelor preconizată de operator.
Din faptul că DPO are sarcina de a oferi consultanță operatorului, acesta din urma ar trebui să înțeleagă și faptul că DPO, chiar dacă dă aviz negativ felului în care operatorul a realizat prelucrarea de date, poate oferi și soluții pentru ca acea prelucrare să devină conformă cu GDPR, parțial, sau chiar integral.
Acest lucru nu înseamnă că DPO este un magician cu soluții minune disponibile în joben, pentru ca operatorul să poată face prelucrarea de date dorită folosindu-se de eventuale interpretări din zona gri a Regulamentului.
Acolo unde nu există dubii asupra prevederilor Regulamentului, iar DPO a dat un aviz negativ pe baza acestora, operatorul trebuie să respecte acest aviz și să nu interpreteze poziția DPO ca fiind una negativă, îndreptată împotriva operatorului și a intereselor acestuia ci, din contră, să înțeleagă că prin acel aviz negativ, DPO îl protejează și pe el, de fapt, nu doar persoanele vizate.
În temeiul articolului 39, “un DPO nu primeşte niciun fel de instrucţiuni în ceea ce priveşte tratarea unei probleme, de exemplu, ce rezultat ar trebui obținut, cum să investigheze o plângere, sau dacă să consulte Autoritatea de Supraveghere. Mai mult, aceștia nu trebuie să aibă o anumită viziune asupra unei probleme legate de legislația privind protecția datelor, de exemplu, o interpretare specială a legii”. (Comitetul European pentru Protecția Datelor).
Independența DPO este testată foarte dur mai ales în situațiile în care operatorul se confruntă cu o breșă de securitate. Dacă DPO, în urma analizării faptelor și a contextului în care s-a produs incidentul de securitate decide că operatorul se confruntă cu o încălcare a securității datelor personale iar acesta trebuie să-și respecte obligația legală de a notifica breșa de securitate la ANSPDCP, DPO trebuie să păstreze o poziție fermă și să nu cedeze eventualelor sugestii sau chiar insistențelor operatorului de a cosmetiza incidentul, de a ascunde informații, sau chiar de a nu respecta prevederile GDPR privind notificarea breșelor de securitate. Această poziție a DPO este de cele mai multe ori generatoare de tensiuni între operator și DPO, mai ales atunci când, operatorul se va confrunta cu amendă/măsuri corective din partea Autorității. Pierderile operatorului în termeni de credibilitate și reputație pot fi mult mai importante decât o amendă de câteva mii de euro (în primele 5 luni ale anului 2020, media/amendă în România a fost de 3.358 euro).
În legătură cu evaluările impactului asupra protecției datelor (DPIA), GDPR prevede implicarea timpurie a DPO și specifică la articolul 35 alineatul (2) că operatorul va solicita sfatul DPO atunci când efectuează astfel de evaluări de impact. Guidelines on Data Protection Officers (‘DPOs’) - Ghidul privind Responsabilul cu protecția datelor cu caracter personal prevede faptul că „dacă operatorul nu este de acord cu sfaturile furnizate de DPO, documentația DPIA ar trebui să justifice în scris în mod specific motivul pentru care sfatul nu a fost luat în considerare”. În plus, articolul 36 din Regulamentul 679/2016 obligă operatorul să consulte Autoritatea de protecție a datelor, prin intermediul DPO, înainte de prelucrare, în cazul în care DPIA indică existența unui risc ridicat al prelucrării.
Deci, ce înseamnă asta în practică?
O bună gestionare a conformității prelucrării datelor provine dintr-o bună guvernanță implementată în practică. Dacă independența DPO este ceva care există doar scriptic în organizație, în realitate:
- sfatul DPO nu este apreciat și nici luat în considerare
- DPO nu este implicat în toate procesele relevante
- uneori i se solicită DPO să își schimbe recomandările, ceea ce ulterior constituie o slăbiciune a acestuia, chiar o încălcare a GDPR.
Echipa de management a operatorului trebuie să sprijine construirea culturii conformității în organizație nu numai prin punerea la dispoziția DPO a resurselor umane, financiare sau logistice necesare (conform art 38 din GDPR), pentru ca acesta să-și îndeplinească sarcinile specifice, dar și prin sprijinirea DPO în îndeplinirea sarcinilor sale. Aceasta implică ascultarea și luarea de măsuri pe baza sugestiilor uneori incomode din partea DPO, cu privire la consolidarea stării de maturitate organizațională.
Cum putem rezolva problemele
Opoziția din partea restului organizației față de activitatea de protecţie a datelor provine, de obicei, din trei motive:
- lipsa sprijinului acordat de conducere activităţii de protecţie a datelor,
- roluri și responsabilități neclare
- instrumente de lucru neadecvate
Dacă cel mai înalt nivel al conducerii operatorului nu a fost clar în comunicarea cu privire la importanța unui management implicat și a unor practici de protecţie a datelor coerente față de întreaga organizație, poate fi dificil pentru angajații care nu sunt implicați în mod curent în activitatea de protecție a datelor să înțeleagă importanța unor sarcini suplimentare care trebuie îndeplinite. Pentru că îndeplinirea sarcinilor privind protecția datelor personale nu este o activitate direct productivă, nefiind ceva ‘palpabil’ cu efecte directe in zona beneficiilor materiale, este esențial ca, în astfel de situaţii, conducerea să trimită un mesaj clar și să dedice timp și efort pentru a sublinia importanța unei culturi solide a protecţiei datelor. Obținerea unei conformități GDPR reale, de facto a organizației este un efort de echipă și nu poate fi considerată sarcina exclusivă a DPO.
Un alt motiv pentru opoziție poate fi lipsa de roluri bine definite și atribuirea clară a responsabilităților. În multe organizații, există încă loc de îmbunătățire atunci când vine vorba de proiectarea organizației care trebuie să mențină documentația activităților de prelucrare a datelor și să efectueze evaluările și monitorizarea îndeplinirii sarcinilor. Cade în sarcina echipei de management să implice toți membrii organizației în sprijinirea DPO pentru identificarea corectă a activităților de prelucrare a datelor personale, de furnizare corectă și completă a informațiilor către DPO și, acolo unde este cazul, fiecare actor implicat în implementarea GDPR să elaboreze și să gestioneze partea proprie de documentație.
Atunci când un angajat se confruntă brusc cu o sarcină legată de protecţia datelor care nu a fost prioritizată de conducere, sau care i-a fost atribuită în mod oficial pe cale administrativă, reacția naturală a acestuia este de a o neglija (mai ales dacă este solicitat și de celelalte atribuții de serviciu). DPO va experimenta acest lucru ca o respingere, sau chiar opoziție față de munca ce trebuie făcută. În această situație e indicat ca DPO, să dea dovadă de tact, pentru a compensa și chiar a înlătura reticența și opoziția , celorlalte părți interesate prin îndrumări și clarificări necesare si astfel să răspundă în mod adecvat la nevoile fiecărei părți și să își îndeplinească obligațiile față de toate părțile.
În consecință, este esențial ca fiecare organizație să aibă timp să ia în considerare rolurile din organizație pentru a îndeplini toate sarcinile relevante atât la nivel strategic, cât și la nivel tactic și operațional. Până când nu sunt definite clar rolurile și responsabilităţile fiecăruia cu privire la ce trebuie să facă și până când această nouă atribuţie nu este percepută și acceptată ca fiind necesară, DPO va continua să se lupte pentru a obține și colaborare din partea celor implicaţi.
Al treilea motiv pentru care DPO se află în conflict este din cauza instrumentelor de lucru depășite și ineficiente. Multe organizații se bazează încă pe tabele Excel și șabloane “word”, în cel mai bun caz centralizate pe un site SharePoint. Această configurare face practic imposibil pentru DPO să delege atribuțiile într-un mod eficient și permite doar adaptarea limitată la situația specifică. Prin urmare, destinatarul noii activități va experimenta interacțiunea cu DPO ca fiind rigidă și suprasolicitantă. O mulțime de instrumente de lucru sunt disponibile pe piață astăzi, iar DPO ar trebui să aibă acces la cele mai bune dintre ele pentru a facilita organizațiilor să sprijine conformitatea cu cerințele Regulamentului. DPO poate îmbunătăți colaborarea cu salariații și poate obține colaborarea voluntară și conștientă a acestora pentru implementarea GDPR, folosindu-se de calitățile sale “naturale”, dar nu poate compensa lipsa resurselor financiare și carcterul depăsit al instrumentelor de lucru pe care le are la dispoziție. Mare parte din reticența, sau chiar opoziția celorlalți membri ai entității organizaționale în ce privește îndeplinirea sarcinilor pe linie de protecție a datelor personale, ar putea fi depășite dacă ar putea fi contrabalansate de timpul scurt de realizare a acestora cu ajutorul unor instrumente de lucru performante.
Volumul de muncă deseori copleşitor
Motivul creșterii volumului de muncă provine de obicei din proiectarea organizațională ineficientă, lipsa resurselor și lipsa disponibilității instrumentelor adecvate.
Atunci când vine vorba de a complica munca pentru DPO, lipsa unui design organizațional eficient este întotdeauna vinovatul principal. În multe organizații, DPO a ajuns să fie “calul de bătaie” pentru întreaga corporație. DPO trebuie să țină evidența activităților de procesare, să elaboreze acorduri de prelucrare a datelor, să efectueze DPIA-uri, să asigure implementarea capabilităților tehnice, să instruiască angajații și să monitorizeze implementarea practicilor de protecţie a datelor. Cu alte cuvinte, DPO a devenit o resursă operațională necesară pentru îndeplinirea sarcinilor, care în mod ideal ar trebui să fie îndeplinite de către cei responsabili cu activitățile de prelucrare. Rețineți că articolul 39 din GDPR prevede că DPO doar va informa și consilia, misiunea lui nu este de a efectua lucrările operaționale propriu-zise.
Această provocare este rezultatul unui concept organizațional ineficient, în care responsabilitatea de a îndeplini sarcinile enumerate mai sus nu a fost atribuită resurselor relevante, sau, dacă au fost atribuite, acest lucru s-a făcut doar scriptic, iar echipa de management nu s-a asigurat prin acțiuni de monitorizare și control eficiente că aceste sarcini chiar sunt îndeplinite, aceasta fiind una din explicațiile pentru care salariații manifestă reticență sau refuză, tacit sau chiar explicit, să îndeplinească aceste sarcini. În consecință, pe baza neînțelegerii rolului DPO, organizația se așteaptă ca acesta să gestioneze toate aspectele operaționale legate de activitatea de protecţie a datelor. În schimb, DPO ar trebui să acționeze la un nivel tactic, să instruiască și să ofere sfaturile necesare celor care fac munca la nivel operațional. DPO are de îndeplinit și o parte operațională în activitatea sa, dar nu poate prelua și îndeplini aceste activități pentru toată organizația.
Pentru îndeplinirea conformității nu înseamnă neapărat că trebuie să existe mai mulți angajați în zona de protecţie a datelor. Cu toate acestea, doar puține organizații au luat în considerare impactul GDPR la nivel operațional și au alocat timp pentru sarcinile suplimentare ale angajaţilor referitor la protecţia datelor, în plus faţă de activitățile curente ale postului. De asemenea, responsabilitatea de a îndeplini aceste sarcini trebuie să le fie atribuită în mod clar. Acest lucru va elimina o parte din volumul de lucru al DPO și va elibera timp pentru alte sarcini critice. În esență, salariații urmează indicaţiile operatorului, iar DPO îi ajută să înțeleagă CUM să facă ceea ce le solicită operatorul. DPO are o contribuție hotărâtoare la clarificarea acestui CE este de făcut, dar este obligația operatorului să impună realizarea sarcinilor, fie direct, fie dându-i DPO autoritatea necesară (este valabil pt toți stakeholderii, nu numai pt salariați)pentru ca acesta să poată stabili sarcini și atribuții pe linie GDPR, așa cum este prevăzut în art. 39, alineatul 1, lit. b) din Regulamentul 679/2016.
Încă o dată, accesul la instrumente de lucru de ultimă generație (aplicații automatizate, sisteme inteligente) este esențial pentru ca DPO să își poată îndeplini sarcinile (ceea ce nu înseamnă că DPO, sau angajații nu și-ar putea îndeplini sarcinile folosind documente create în Excel sau șabloane în “word”, ci existența unor instrumente de lucru de ultimă generație s-ar traduce în timpi mult mai scurți de efectuare a acestor sarcini suplimentare și ar avea ca efecte benefice detensionarea relațiilor între DPO și restul organizației și reducerea / eliminarea reticenței, opoziției sau refuzului de a contribui activ la obținerea conformității GDPR).
Independența DPO este contestată
Amenințarea la adresa independenței DPO este o problemă mult mai gravă și care poate necesita o implicare externă, dacă DPO este blocat în mod repetat în a-și prezenta opiniile către conducere, la orice nivel. Mulți DPO reclamă faptul că se confruntă cu numeroase situații în care conducerea s-a opus anumitor evaluări făcute de acesta cu privire la riscurile și legalitatea prelucrării.
Acest lucru este o provocare pentru DPO și se află în conflict direct cu intenția de a avea DPO ca organism independent în cadrul organizației, care să asigure practici solide de protecție a datelor. De asemenea, conflictul cu echipa de management și presiunea de a-și schimba poziția pot avea implicații psihologice semnificative în termeni de stres și satisfacție scăzută la locul de muncă.
Problema independenței DPO este cauzată, adesea, de două aspecte:
- neînțelegerea de către conducere a rolului DPO
- poziția, uneori inflexibilă a DPO, ceea ce face dificilă găsirea unei căi de urmat.
Conducerea tinde să privească DPO ca fiind “aproape” o extensie a funcției juridice, prin urmare, se așteaptă ca acesta să găsească argumente juridice care ar putea permite activități de prelucrare a datelor într-o “zona incertă” și este contrariată, sau chiar nemulțumită de poziția DPO când acesta exprimă îngrijorări sau chiar dă aviz negativ pentru anumite activități de prelucrare a datelor personale care nu sunt conforme cu prevederile GDPR. Cum explicam anterior, rolul DPO nu este de a găsi “portițe de scăpare” în Regulament pentru operator, ci de a oferi soluția cea mai corectă pentru respectarea principiilor protecției datelor cu caracter personal.
Cea mai bună modalitate de a rezolva această problemă este de a purta o discuție cu privire la rolul DPO înainte de apariția oricărui conflict. O întâlnire informală cu conducerea superioară unde DPO poate avea ocazia să explice conducerii avantajele independenței funcției sale care este benefică pentru toate părțile implicate: asigură soluții care generează încrederea clienților, îndeplinesc așteptările clienților, evaluează și diminuează riscurile, face verificări și asigură echilibrul, elaboreaza documentație - cu precizarea că elaborează doar documentația care cade în sarcina sa, conform prevederilor Regulamentului, sprijină operatorul în îndeplinirea obligației sale de a respecta principiul responsabilității etc. Înțelegerea sau interpretarea greșită de către conducere a rolului DPO provine și din faptul că mulți DPO nu sunt suficient de bine pregătiți și nu cunosc suficient de bine care sunt limitele de competență ale rolului lor, ceea ce contribuie la apariția acestei confuzii de roluri. Acest impas poate fi depășit, pe de o parte prin munca individuala a DPO de a-și extinde experiența în domeniu, iar pe de alta parte de obligația operatorului de a pune la dispoziția DPO resursele pentru actualizarea cunoștințelor de specialitate ale acestuia, fie că este vorba despre achiziționarea de bibliografie în domeniu (cărți, reviste etc.), fie prin alocarea unui buget care sa-i permita participarea la cursuri de perfecționare, sau achiziția unui abonament la o platformă care conține bibliografie legislativă actualizată.
Cu toate acestea, DPO trebuie să înțeleagă că face parte dintr-o organizație care depinde de cunoștințele și îndrumările sale ca specialist în materie de gestionare a conformității. Prin urmare, considerăm că DPO are obligația de a căuta în mod activ soluții care să asigure un echilibru corect între soluționarea problemelor organizației și reducerea riscului pentru persoana vizată, fără ca acest lucru să blocheze activitatea organizației sau să încarce membrii acesteia cu sarcini suplimentare care să pună presiune suplimentară (și inutilă) pe aceștia. Chiar dacă nu este prevăzut în Regulament, DPO trebuie să-și asume și rolurile suplimentare de facilitator și chiar de mediator pentru a fluidiza activitatea organizației în efortul acesteia de a obține și de a menține un nivel ridicat de conformitate GDPR.
Pare ușor pentru un DPO să spună „nu” și să solicite întotdeauna mai mult în ceea ce privește securitatea și protecția datelor, dar valoarea reală, atât pentru organizație, cât și pentru persoana vizată este faptul că DPO poate ajuta la găsirea de soluții care să atenueze în mod adecvat riscurile activităților de prelucrare a datelor și reducerea lor la un nivel acceptabil. În cazul în care DPO se poate poziționa în mod recurent ca un ajutor în găsirea de soluții la probleme și nu doar ca un identificator de probleme, atunci probabil ca va primi sprijinul corespunzător din partea restului organizației. Operatorii ar trebui să fie conștienți de faptul că solicitările DPO de alocare de resurse suplimentare, uneori deloc de neglijat sub aspect financiar au scopul de a reduce inclusiv riscul unor sancțiuni în cazul producerii unei breșe de securitate. Este, deja, de notorietate faptul că amenzile pentru nerespectarea art. 32 din Regulament sunt bazate, de multe ori, pe faptul că operatorul nu va putea niciodată să demonstreze că a făcut suficient sau că “[...] implementează măsuri tehnice și organizatorice adecvate în vederea asigurării unui nivel de securitate corespunzător acestui risc [...]”, deoarece, oricâte eforturi ar face operatorul pentru obținerea conformității, faptul că breșa de securitate s-a produs este folosit ca justificare pentru a demonstra că nu a făcut suficient. Realitatea producerii breșei de securitate nu poate fi ștearsă sau ignorată nici de operator, nici de autoritatea de supraveghere.
Lipsa suportului managementului superior
Cele din urmă provocări cu care se confruntă DPO sunt rezistența din partea conducerii de a face modificările necesare pentru a aborda situația DPO. Principalul motiv pentru această reticență este că, uneori, conducerea nu are o înțelegere deplină atât a riscurilor, cât și a oportunităților ratate pe care le presupune configurarea ineficientă a protecţiei datelor.
În multe organizații, activitățile GDPR și managementul protecţiei datelor au fost gestionate ca un proiect de conformitate, la fel ca practicile și anticoncurențiale, spălarea banilor, programele anticorupție, etc. Cu toate acestea, domeniul protecţiei datelor reprezintă un exercițiu complet diferit și mult mai orientat către piață. Prelucrarea datelor este ceva de care companiile depind în mare măsură. Iar corupția și spălarea banilor sunt activități pe care companiile doresc să le evite.
Rolul vieții private nu poate fi abordat doar ca o activitate de conformitate. Trebuie luat în considerare din perspectiva pieței. Trebuie luat în considerare din perspectiva dezvoltării serviciilor. Trebuie luat în considerare din perspectivă organizațională. Deasemenea, este necesar să fie luate în considerare implicațiile financiare, tehnologice, de piață și de risc semnificative pentru a aborda pe deplin impactul acestuia. Acest lucru trebuie discutat la nivel strategic cu conducerea, unde DPO trebuie să ia în considerare protecția datelor companiei, apetitul la risc și nivelul de conformitate ale companiei.
În concluzie:
DPO are nevoie de conducere pentru a-l ajuta să reușească în misiunea sa, mai ales în încercarea rezolvării următoarelor probleme:
- Creșterea gradului de conștientizare de către echipa de management cu privire la importanța rolului său în alinierea programului de protecţie a datelor organizației cu strategia și valorile sale
- Derularea și implementarea unui proiect organizațional eficient care să permită DPO să preia un rol tactic
- Alocarea clară a sarcinilor operaționale resurselor relevante din organizație
- Creșterea gradului de conștientizare de către echipa de management cu privire la avantajele accesului DPO și al întregii organizații la instrumentele de lucru potrivite pentru gestionarea protecţiei datelor
- Definirea clară a nivelului de maturitate pentru gestionarea proiectului organizațional
- Creșterea gradului de conștientizare de către echipa de management cu privire la avantajele independenței DPO și respectarea activă a acestei independențe de către toți membrii organizației
- Identificarea de soluții la provocările cu care se confruntă organizația (pe baza cunoștințelor, expertizei și experienței DPO cu rol activ și constructiv în a ajuta organizația să vadă oportunități și să exploreze noi căi de urmat)
