Alexandra Jivan (CIPP/E) are o experiență profesională de peste 11 ani, oferind consultanță și reprezentare juridică, atât startup-urilor, precum și companiilor multinaționale. În 2018, a fost inițiatorul proiectului GDPRO, cea mai mare platformă online românească care oferă seturi de documente adaptate pentru mai mult de 35 de domenii de practică diferite, concepute pentru IMM-uri și ONG-uri (www.protectia‐datelor‐imm.ro). Din 2020, este unul dintre membrii fondatori ai proiectului Timișoara Legal Hackers.
Este și unul din moderatorii Workshop-ulului dpo.Tools organizat de Portalul dpo-NET.ro - Data Protection Officers Network, în data de 23 și 24 Martie 2020, în parteneriat cu Wolters Kluwer România, NeoPrivacy România, SAMSUNG, Inperspective, Reimens si IJV& Partners Law Firm și care abordează o tema de mare interes, "Mobilitatea, o provocare pentru aplicarea GDPR”, analizând intr-un mod pragmatic avantajele si riscurile privind securitatea informatiilor si a datelor personale in contextul utilizarii din ce in ce mai mult a tehnologiei mobile pentru a comunica. Alexandra Jivan a acceptat să ofere un interviu în exclusivitate pentru cititorii dpo-NET.ro, reușind să ne trezească interesul tuturor pentru un subiect atât de important pentru orice compananie care își propune să adopte și să implementeze principiile GDPR: implicarea, motivarea și responsabilizarea angajaților.
Atunci când am primit invitația de a fi speaker la acest eveniment, am acceptat cu mare bucurie, unul dintre motivele care au stat la baza deciziei mele fiind chiar tema generală a workshop-ului: mobilitatea în contextul GDPR. În ziua de astăzi nu mai putem vorbi despre un business fără dispozitivrlr de comunicare mobile. Mai mult, punerea la dispoziția angajatului a unui telefon sau laptop de serviciu nu mai reprezintă de mult un bonus care să facă diferența între angajatori. S-a trecut chiar la pasul următor, acela în care utilizarea device-urilor personale în interes de serviciu (BYOD - Bring Your Own Device) e tot mai des întâlnită.
Normalitatea este deci utilizarea tehnologiei mobile, cu toate consecințele firești ale acestui fapt, fie ele bune sau mai puțin bune.
La ce consecințe te referi?
Fără a dezvolta toate situațiile de fapt cu care m-am confruntat de-a lungul activității, despre care voi vorbi însă pe larg la workshop, este important să conștientizăm că folosirea tehnologiei mobile (a telefonului mobil spre exemplu) de către un angajat poate fi de un real folos societății deoarece va facilita modul în care își desfășoară acel salariat activitatea, însă va genera totodată și un risc din perspectiva securității datelor. Fotografierea unui baze de date cuprinzând datele de contact ale clienților societății sau alte angajaților acesteia, folosirea acelor date în alt scop decât cel asumat de societate, permiterea accesării bazei de date a societății de pe un laptop privat virusat ce afectează ulterior întregul sistem al angajatorului, sunt exemple simple de consecințe grave cu care orice societate se poate confrunta.
Dacă vom analiza rapoartele ANSPDCP (Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal) din ultima vreme, vom putea constata că există societăți care au fost deja obligate la plata de amenzi pentru neluarea de măsuri tehnice și organizatorice adecvate în vederea evitării unor situații de tipul celor amintite anterior.
Ce înseamnă “măsuri tehnice și organizatorice adecvate”?
GDPR oferă câteva exemple de măsurile tehnice şi organizatorice considerate a fi adecvate, precum şi anumite linii directoare pe care entităţile implicate în prelucrarea datelor cu caracter personal le pot urma atunci când implementează măsurile interne. Regulamentul nu prevede însă o definiţie concretă sau o listă clară a măsurilor adecvate, întrucât un astfel de demers ar fi unul extrem de laborios, dacă nu chiar imposibil, raportat la multitudinea particularităţilor fiecăreia dintre situaţii. În consecinţă, efortul determinării măsurilor potrivite pentru fiecare caz trebuie asumat de entităţilor care prelucrează datele cu caracter personal, respectiv de societăți.
Raportat la tema workshop-ului firește că este important să amintesc dintre măsurile orgaznizatorice ce ar trebui avute în vedere, cel puțin următoarele: obligația de confidențialitate a angajaților (ce trebuie clar reglementată printr-un act adițional la contractul de muncă și asumată în deplină cunoștință de cauză de către aceștia); training-ul adecvat în urma căruia salariații să înțeleagă importanța securității datelor prelucrate și a rolului lor în acest context; implementarea de politici interne cum e cea de HR, în care să se reglementeze modul în care se folosesc echipamentele mobile, condițiile ce trebuie îndeplinite pentru a se putea folosi un echipament personal în interes de serviciu, sancțiunile ce pot fi aplicate în cazul nerespectării acestei politici ș.a.m.d.
Există deci metode prin care angajatorii se pot asigura că nu vor exista incidente de securitate a datelor ca urmare a folosirii technologiei mobile de către salariați?
Cu siguranță că există, însă acestea nu se pot rezuma strict la documentația despre care vă vorbeam. În opinia mea, o implementare corectă și completă de GDPR se face doar prin colaborarea departamentului juridic cu cel tehnic. Așadar, vom avea spre exemplu politici interne care să reglementeze modul în care se vor utiliza laptop-urile private în interes de serviciu (folosirea parolelor, existența unui antivirus valabil, aplicare de sancțiuni etc.) însă va trebui să ne putem baza și pe niște sisteme IT/aplicații care să se asigure că în practică aceste demersuri sunt și duse la îndeplinire. Fiind avocat de consultanță în domeniul de business, convingerea mea este aceea că prevenția e mai bună decât încercarea reparării situației. Țelul principal al oricărei societăți ar trebui să fie acela de a împiedica producerea unui data breach, nu de a avea împotriva cui să se întoarcă pentru recuperarea daunelor suferite...deși firește că și această plasă de siguranță trebuie construită.
În contextul unei breșe de securitate, operatorul este responsabil conform Regulamentului UE 2016/679. Ce modalități există pentru ca operatorul să atragă răspunderea pentru greșeala unui angajat, în situația în care există proceduri și instrucțiuni de lucru? Se schimbă situația dacă operatorul nu a prelucrat corespunzător aceste proceduri si instructiuni către proprii angajați?
Atunci când un angajat nu își respectă obligațiile asumate în contextul relațiilor de muncă, sancțiunile sunt cele prevăzute de Codul Muncii și pot varia de la avertisment, la reducerea salariului pe o anumită perioadă de timp și până la concediere. Dacă societatea a suferit un prejudiciu, firește că există posibilitatea solicitării de despăgubiri de la persoana culpabilă, respectiv de la angajatul care a generat acel incident de securitate. Pentru a putea susține însă faptul că neîndeplinirea obligațiilor de către un anumit angajat a dus la respectivul incident și este deci răspunzător de acesta, este în primul rând necesar ca acelui angajat să îi fie clare obligațiile avute și consecințele nerespectării lor.
Vorbim astfel despre utilitatea existenței unor prevederi în cuprinsul regulamentului intern care să includă anumite fapte în categoria abaterilor disciplinare sau a abaterilor disciplinare grave și care să prevadă sancțiunile aferente acelor fapte, dar și despre importanța ridicată a procedurilor interne cu rol în reglementarea modului de desfășurare a activităților angajatului. Dacă aceste proceduri există, trebuie discutate cu reprezentanții salariaților/sindicatele (acolo unde acestea s-au constituit) și ulterior implementate. Prin “implementare” mă refer la aducerea lor la cunoștința angajaților, explicarea lor, efectuarea de traininguri interne, audituri periodice și orice alte demersuri care sprijină intenția angajatorului de evitare a breșelor de securitate ca urmare a activității salariaților.
În situația în care astfel de proceduri nu au fost stabilite la nivelul societății, sau au fost stabilite dar nu și aduse la cunoștința angajaților, scopul final al angajatorului de asigurare a securității datelor poate fi cu greu atins. Mai mult, salariații se pot prevala de acest lucru în cazul unui litigiu referitor la răspunderea lor, susținând că nu știau de respectivele proceduri. Înspre cine va înclina balanța rămâne de văzut în funcție de fiecare situație concretă, însă cu certitudine o atitudine diligentă din partea angajatorului prin crearea și implementarea efectivă și corectă a unor proceduri interne, nu poate decât să vină în sprijinul acestuia.
