O nouă lucrare de mare interes a fost adaugată în webshop-ul dpo-NET.ro, fiind o contributie a membrilor Centrului de cercetare pentru protectia datelor, constituit in cadrul Universitatii de Medicina, Farmacie, Știinte și Tehnologie „George Emil Palade” din Târgu Mureș. Lucrarea prezinta o importanta practica pentru ca faciliteaza la nivelul operatorilor de date implementarea Regulamentului General privind Protectia Datelor.

Lucrarea este ușor accesibila și celor care, deși nu au o specializare in domeniul protectiei datelor, au atributii manageriale și sunt interesati sa ia decizii cu respectarea legislatiei specifice acestui domeniu. Spre exemplu, șeful unui departament tehnic trebuie sa fie interesat de adoptarea unei politici de utilizare a sistemului GPS (Global Position System) la autovehiculele companiei, ceea ce trebuie realizat prin a tine cont de Regulamentul General privind Protectia Datelor.

Lucrarea are un caracter profund practic, permitându-i operatorului de date și responsabilului cu protectia datelor sa adopte o pozitie strategica atunci când este vorba de implementarea Regulamentului General privind Protectia Datelor. Modele și formularele cuprinse in volum trebuie citite cu atentie de fiecare Responsabil cu protectia datelor, dupa care sa recomande adoptarea oricaruia dintre acesta doar cu propuneri care sa reflecte specificul fiecarui operator de date. Poate aceasta este cea mai importanta idee practica sugerata aici, anume niciodata sa nu ne aplecam pe achizitionarea unor „kituri” de modele și formulare, uitând că implementarea se face specific fiecarei problematici.

Acest volum pune la dispozitie mijloace pentru o implementare corecta și justificata, fara insa sa aiba pretentia nici a exhaustivitatii modalitatilor de implementare și nici a epuizarii modelelor posibile pe diferite domenii. Lucrarea este elaborata exclusiv pe baza experientei autorilor, fiind adresabila celor care au nevoie de implementare, institutiile publice și agentii economici.

DESCARCA FRAGMENT

Cuprinsul cărţii - PROTECTIA DATELOR CU CARACTER PERSONAL. MODELE SI FORMULARE

I. Acorduri de protectie a datelor

• Model de Acord de confidentialitate ce urmeaza sa fie incheiat cu studentii care solicita accesul la baza de date a spitalului
• Model de Acord de confidentialitate și integritate date
• Model de Acord de protectie a datelor cu caracter personal la un contract
• Model de Acord de protectie a datelor cu caracter personal in cazul beneficiarilor de finantari nerambursabile și autoritatile contractante
• Model de Clauze de confidentialitate privind executia de lucrari

II. Formulare de consimtamant 

• Formular consimtamant vecini – CCTV
• Solicitare consimtamant pentru prelucrarea de categorii speciale de date cu caracter personal
• Nota interna a Operatorului de date privind consimtamantul dat la prelucrarea unor categorii speciale de date și durata prelucrarii datelor

III.MODELE DE FORMULARE PRIVIND EXERCITAREA DREPTURILOR DE CATRE PERSOANELE VIZATE/INTERESATE 

• Cerere pentru exercitarea drepturilor persoanei vizate (candidati /angajati /foști angajati /alte persoane interesate) / Nota interna/
• Model de procedura operationala privind solutionarea cererilor pentru exercitarea drepturilor de catre persoanele vizate in temeiul Regulamentului General privind Protectia Datelor
• Model de procedura interna de solutionare a cererilor pentru exercitarea drepturilor specific RGPD, privind tipul și fluxul de operatiuni in cadrul organizatiei
• Model de procedura operationala privind solutionarea cererilor pentru exercitarea drepturilor ce privesc datele cu character personal Candidati / Angajati /Foști angajati /Alte persoane interesate

IV. Strategii de implementare a standardului de protectie a datelor cu caracter personal

• Model de strategie de implementare la nivelul unei unitati administrativ-teritoriale a standardului de protectie a datelor cu caracter personal și a vietii private
• Model de strategie de implementare la nivelul unui spital public de pediatrie a standardului de protectie a datelor cu caracter personal și a vietii private
• Model de strategie de implementare la nivelul unei institutii școlare a standardului de protective a datelor cu caracter personal și a vietii private
• Schema logica a strategiei de implementare a standardului

V. Formulare specifice responsabilului cu protectia datelor

• Cerere de consigliere
• Regulamentul de organizare și functionare și Procedura de lucru a Responsabilului cu protectia datelor la nivelul unei institutii spitalicești
• Regulamentul de organizare și functionare și Procedura de lucru a Responsabilul cu protectia datelor la nivelul unei primarii/unitati administrativ-teritoriale
• Model de Memorandum privind Riscul asupra indeplinirii cerintelor RGPD referitoare la Statutul Responsabilului cu Protectia Datelor in cadrul unei primarii/unitati administrativ-teritoriale/institutii publice
• Stabilirea sistemului de evaluare a performantei Responsabilului cu Protectia Datelor in cadrul unei unitati administrativ-teritoriale
• Model de Fișa a postului Responsabilului cu Protectia Datelor din cadrul unei primarii a unitatii administrativ-teritoriale
• Fișa postului Responsabilului cu Protectia Datelor din cadrul unui spital
• Model de Nota de informare adresata conducerii operatorului referitoare la conformitatea mecanismului CCTV utilizat in cadrul institutiei cu standardele protectiei datelor cu character personal
• Nota de informare privind prelucrarea datelor cu caracter personal prin folosirea sistemului CCTV
• Nota de informare adresata conducerii operatorului

VI.POLITICI

• Model de Politica Generala de confidentialitate și protectie a vietii private
• Model de Politica de confidentialitate și protectie a vietii private la nivelul unei unitati administrativ-teritoriale
• Model de Politica generala de confidentialitate și protectie a vietii private la nivelul unui spital
• Model de Politica de prelucrare a datelor cu caracter personal privind utilizarea sistemelor GPS in activitatea de transport

E. MODEL DE POLITICA PRIVIND SUPRAVEGHEREA PRIN MIJLOACE VIDEO (TVCI)

A cincea amendă GDPR a fost inclusă în "palmaresul" Telekom România. Singura noutate este că, față de cele patru amenzi anterioare, Autoritatea Națională de Supraveghere a constatat, de data aceasta,  încălcarea dispozițiilor art. 6 și art. 21 GDPR și a emis un avertisment și o amendă în cuantum de 9,851.40 lei (echivalentul sumei de 2000 EURO). Cele 4 amenzi GDPR anterioare, totalizând 18,000 euro, la care se aplica și o amendă de 15,000 lei pentru săvârşirea contravenţiei prevăzută de art. 13 alin. (1) lit. a) din Legea nr. 506/2004, au fost aplicate pentru măsurile tehnice și organizatorice insuficiente.

Nu putem să nu remarcăm faptul că există operatori care parcă sunt “abonați” la amenzi, cum e cazul Vodafone Spania și Telekom în România iar explicația nu poate fi decât faptul că amenzile aplicate nu îndeplinesc criteriul caracterului disuasiv al acestora, care este prevăzut explicit de Regulament.

De data aceasta, sancțiunile au fost aplicate operatorului Telekom România ca urmare a unei plângeri prin care se reclama faptul că petentul a fost contactat pe numărul său de telefon în scop de marketing de către un reprezentant Telekom, deși acesta își retrăsese consimțământul pentru utilizarea datelor sale cu caracter personal odată cu încetarea relației contractuale cu operatorul. Ulterior, petentul și-a exercitat dreptul de opoziție față de prelucrarea datelor sale personale în scop de marketing și publicitate solicitând operatorului ștergerea numărului său de telefon și a adresei de e-mail din baza de date a Telekom. Cu toate acestea, petentul a fost din nou contactat de un reprezentant Telekom în scop de marketing. Astfel, petentul a transmis operatorului o nouă solicitare de a nu mai fi contactat și de a i se șterge numărul de telefon și adresa de e-mail din baza de date.

Urmare a acestei solicitări, operatorul i-a comunicat petentului că adresa sa de e-mail și numărul de telefon au fost șterse din sistemul de gestionare a clienților confirmând, totodată, că a fost apelat de un reprezentant Telekom, care, dintr-o eroare umană, nu și-a dat seama că nu avea permisiunea petentului de a-l apela.

În cursul desfășurării investigației Autoritatea Națională de Supraveghere a constatat că Telekom Romania Communications SA  a prelucrat datele cu caracter personal ale petentului în scop de marketing fără a avea temei legal, încălcându-se astfel prevederile art. 6 din GDPR. De asemenea, operatorul a contactat telefonic petentul deși acesta își exercitase dreptul de opoziție, încălcându-se astfel prevederile art. 21 din RGPD.

In domeniul protecției datelor în România, anul 2021 a debutat cu relansarea pe piață a carții "GDPR Aplicat. Instrumente de lucru pentru implementarea Regulamentului UE 679/2016" ( Editia 1, Editura Wolters Kluwer). Cartea este disponibilă în webshop-ul dpo-net.ro si poate fi comandată la prețul promoțional de 110 lei. 

Conf. Univ. Dr. Nicolae Ploeșteanu - Directorul Centrului pentru Protecția Datelor - Universitatea de Medicină, Farmacie, Științe și Tehnologie „George Emil Palade” din Târgu Mureș a avut amabilitatea sa semneze prefața acestei ediții:

"Apariția volumului GDPR Aplicat, ediția a I-a, elaborat de autorii Daniela Simionovici, Daniela-Irina Cireașă, Cătălina Pantilimon și Marius-Florian Dan, reprezintă valorificarea de către aceștia, într-o editură de prestigiu precum Wolters Kluwer, a unui „succes editorial”. Prima ediție a apărut în editura Lumen și, cred eu, că datorită confirmării valorii practice a volumului, autorii au trecut de faza „timidității” începutului editorial și se adresează în prezent prin elaborarea acestei a doua ediții către dimensiunea reală a publicului interesat de domeniul protecției datelor cu caracter personal și, mai ales, către nevoile pieței de a implementa exhaustiv Regulamentul General privind Protecția Datelor, la nivelul operatorilor de date din România.

Volumul GDPR Aplicat este o idee strălucită a unui colectiv de persoane cu experiență practică și însuflețite să își pună amprenta proprie într-un domeniu în emergență, anume domeniul protecției datelor cu caracter personal. Legislația specifică pe care o abordează într-o manieră utilă și formativă este aceea care privește mai ales „GDPR”. Autorii doresc atât să se implice cât și să ofere un instrument antrenant și imediat pentru probleme practice serioase și multiplicate în activitățile curente ale operatorilor de date cu caracter personal. Toate entitățile publice și private sunt interesate să se pună de acord cu ceea ce la momentul de față este „sperietoarea” activității lor. Această intenție are sinuozități și îndoieli dar, în final, se impune practic asemănător unui standard de calitate și, în același timp, complet diferit: este diferența dintre un tablou pictat, privit ca o operă și, pe de altă parte, evoluția și inițierea unui proces juridic; oare cine are dreptate? Răspunsul este oferit cu precauție în paginile volumului acestor pionieri….În final, practica și viitorul vor fi circumstanțele în baza cărora vom argumenta liniile decisive ale acestei îndrăznețe acțiuni: protecția datelor din perspectiva unei societăți mai sigure și a unei vieți private intime fiecărei persoane fizice.

Este necesară această lucrare și îi felicit pe autori și pe cei care au contribuit pe această linie, într-un fel sau altul, la formarea acestora, iar aici mă gândesc în special la cei care au avut inițiativa de a întreprinde la Universitatea suceveană un curs postuniversitar de protecție a datelor, pe care toți autorii acestui volum l-au urmat!

Volumul este consistent: are 752 de pagini și, în esență, 14 capitole tematice, la care se adaugă anexe, bibliografie, figuri și tabele. Volumul se remarcă prin utilitate, nu prin argumentare științifică. Principala metodă de investigație utilizată în realizarea volumului este metoda experimentală.  În cele 14 capitole se tratează atât ideile de esență și directoare ale protecției datelor, precum și măsurile, acțiunile care trebuie întreprinse pentru a asigura implementarea GDPR la nivelul entităților, oferindu-se în mod constant exemple. În partea finală, referitoare la proceduri, modele și tabele ni se prezintă o varietate de exemple. Legat de structura volumul în acest context de evaluare pot fi extrem de încrezător în a afirma că este complet antamat pe necesitățile practice. Demersul autorilor va fi îmbogățit în edițiile viitoare, prin practica viitoare și abordarea unor tematici de nișă, cum este aceea a transferului internațional de date.

Pentru elaborarea volumului GDPR aplicat este cert că autorii au alocat un timp prețios și o disponibilitate aparte, poate chiar încercată și deloc ușoară. La momentul de față, astfel  cum se numește în partea secundă a sa, „Instrument de lucru pentru implementarea Regulamentului UE 679/2016” este instrumentul cel mai valoros de pe piața din România, pentru toți cei implicați în acest fenomen. Nu este un volum științific ci este exact ceea ce se numește: „Instrument de lucru…”. Dar este cel mai bun în domeniul GDPR. Îndrăznesc să afirm, pentru întreaga masă de profesioniști și interesați în domeniu, că utilizând acest volum pot să aibă siguranța conformității pentru o medie a entităților, într-un procent de aproximativ 90%. Oricum, până la apariția vreunui volum mai exhaustiv sau sintetic, acesta este, în opinia mea, sub aspect practic numărul 1 în România.

În mod interesant, lucrarea este utilă atât pentru practicieni cât și pentru directorii executivi ai companiilor. În prima parte, se oferă lecții nenumărate pentru management cum ar trebui să regândească sistemul propriu în care activează și, sigur că da, în același timp practicienii vor avea nenumărate soluții și documente la dispoziție pentru a sprijini companiile sau autoritățile în implementarea GDPR. Spre exemplu, la nivel de management este expusă povestea așteptării unui standard cumpărat și implementat imediat, cu deziluzia că așa ceva nu s-a putut întâmpla…Se caută vina la consultant și nu se poate direcționa juridic. Ce facem de aici încolo? Cât mai trebuie să stăm împiedicați de protecția datelor?

La nivel de executiv, lucrurile se complică deoarece pe lângă aceste instruiri, adevăratul specialist în protecția datelor trebuie să devină un real confident al companiei și să contribuie la rebreduirea acesteia. Va fi acceptat? Va fi înghițit? Volumul răspunde acestor întrebări într-o manieră sinceră și corectă!

Autorii au investit pasiune și interes suprapuse pe ideea importanței formării continue și a observației și cercetării cu demonstrații. Spuneam că autorii sunt într-o mare măsură pionieri: au simțit flexibilitatea și dinamica domeniului și au considerat că pot să afirme reguli, aspect care s-a confirmat în mod evident. De aici, apare una din primele trăsături ale lucrării, anume că la fiecare domeniu și secțiune se începe cu o „poveste” legată de ce se întâmplă în practică atunci când se urmărește implementarea GDPR: totul prinde contur și devine extrem de narativ și util în același timp. Spre exemplu, cuvântul introductiv debutează exact cu cea mai importantă parte a implementării GDPR, anume aceea a conștientizării și educației: „Etica reprezintă o invitație la conștientizarea consecințelor a ceea ce se face”

În al doilea rând, se face o descriere juridică a fiecărui concept principal utilizat în GDPR, inclusiv descrierea faptică alăturată. Dacă deschid la întâmplare volumul, ajung, spre exemplu la pagina 59, unde se vorbește de pseudonimizare, despre care se afirmă în mod corect că „are o componentă obligatorie și anume reversibilitatea acesteia. Reversibilitatea este tehnica inversă pseudonimizării, adică, folosind informații suplimentare, pe care doar operatorul le are, datele pot deveni, din nou, „clare”(…)” Aceasta este o obligație specifică în anumite condiții a operatorului de date.

În al treilea rând se oferă de către autori la fiecare argumentare sistematic prezentată, un exemplu, de regulă referit de ghidurile de implementare și orientare realizate de fostul Grup de lucru articolul 29, în prezent înlocuit de Comitetul european pentru protecția datelor stabilit prin GDPR. Această modalitate de expunere conferă instruire și înțelegere cititorului și practicianului, deoarece exemplele sunt extrem de relevante și fin relevate.

Nu în ultimul rând, trebuie remarcată referirea la practica instanțelor din România și a instanțelor europene în domeniul protecției datelor cu caracter personal, chestiune utilă deoarece contribuie la statuarea definitivă a unor linii de interpretare a domeniului analizat.

Consider că fiecare practician trebuie să aibă această lucrare pentru că îl va ajuta în implementarea GDPR. Lucrarea conține atât conținut cu documentare științifică cât și conținut aplicativ corect dar orientativ și specific ghidurilor.

În ceea ce mă privește, sunt încântat că autorii  Daniela Simionovici, Daniela-Irina Cireașă, Cătălina Lungu și Marius-Florian Dan, mi-au fost pentru o scurtă perioadă „studenți”, deoarece orice dascăl este împlinit când este depășit de proprii studenți. I-am întâlnit cu ocazia unei competiții în domeniul protecției datelor, desfășurată la Târgu Mureș, și am simțit că este vorba de un grup cu potențial reformator. Au demonstrat în interesul comunității din România acest lucru. Le doresc mult succes și felicitări pentru demersurile continue pe care le întreprind în domeniul protecției datelor cu caracter personal."