Provocările GDPR în sectorul public

Administratie Publica

Vizualizari: 6090

Facebooktwittergoogle_plusredditpinterestlinkedinmail

Autor: Alina Crăciun, Coordonator Editorial Wolters Kluwer Romania

Autoritățile publice au drepturi și obligații specifice în domeniul GDPR, uneori diferite de cele pe care le au entitățile private. În administrația publică responsabilitatea este mai mare și datele cu caracter personal nu sunt doar stocate dar sunt, de cele mai multe ori și transferate. În plus există și legislația specifică care trebuie integrată cu principiile GDPR.

Prof. univ. dr. Daniel-Mihail ȘANDRU analizează în revista Pandectele Române nr. 2/2019, editată de Wolters Kluwer România, principalele probleme cu care se confruntă sectorul public în domeniul GDPR: colectarea și transferul datelor, drepturile persoanelor vizate, desemnarea responsabilului cu protecția datelor (DPO), proceduri specifice autorităților și organismelor publice, regimul sancționator.

Operatorii de date personale din sectorul public

Potrivit autorului: „pentru operatorii definiți prin legislație națională ca fiind autoritate sau organism public se aplică unele reguli specifice, reguli care au în vedere poziția entităților publice.”

Potrivit Legii nr. 190/2018 prin autorități și organisme publice se înțelege:

– Camera Deputaților și Senatul
– Administrația Prezidențială
– Guvernul, ministerele, celelalte organe de specialitate ale administrației publice centrale
– autoritățile și instituțiile publice autonome
– autoritățile administrației publice locale și deja la nivel județean
– alte autorități publice, precum și instituțiile din subordinea/coordonarea acestora.
– unitățile de cult și asociațiile și fundațiile de utilitate publică (asimilate autorităților/organismelor publice în sensul legii).

Pentru domeniul penal, se aplică o lege specială și anume Legea nr. 363 din 28 decembrie 2018privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, descoperirii, cercetării, urmăririi penale și combaterii infracțiunilor sau al executării pedepselor, măsurilor educative și de siguranță, precum și privind libera circulație a acestor date.

Principalele probleme din sectorul public în domeniul GDPR

Daniel Mihai Șandru precizează care sunt, în prezent, principalele probleme în sectorul public:

– Colectarea de date și transferul de date, întrucât încă există dispoziții legale care obligă aceste entități să colecteze și să transfere date.

 Demonstrarea consimțământului persoanelor vizate: „Chiar dacă cele mai multe date sunt prelucrate în temeiul legii și eventual al contractului, rămân situații în care entitățile publice trebuie să demonstreze consimțământul persoanelor vizate. Este necesar consimțământul și nu este suficientă informarea pentru site (cookies, chestionare și alte sondaje, dacă nu sunt anonime, software, apps, transferul datelor în afara scopului pentru care au fost stocate/ colectate).”

– Verificarea surselor fizice pe care sunt stocate datele: „Entitățile publice trebuie să verifice, precum orice operator, într-o măsură rezonabilă, sursele fizice pe care sunt stocate datele, mai ales mediile informatice utilizate. Verificarea este, desigur, intelectuală, la nivelul clauzelor contractuale pentru a se asigura că încălcarea securității datelor este limitată la maxim.

 Problema licitațiilor: „Pentru a obține un preț scăzut la licitație sau pentru a stoca gratuit date personale uneori se apelează la cloud, pentru care, dacă nu este încheiat un contract riscurile rămân la entitățile publice. Licitațiile reprezintă o problemă când sunt achiziționate produse ieftine, care nu au implementat GDPR (sub forma impactului asupra vieții private pentru produs) și care pot conduce la incidente și încălcări de securitate a datelor.”

 Minimizarea prelucrării datelor: „Entitățile publice trebuie să justifice de ce prelucrează anumite date și să ia măsurile tehnice și organizatorice pentru eliminarea riscurilor.”

 Transparența prelucrării datelor: «este esențială pentru conformarea cu GDPR, având în vedere că potrivit Orientărilor GL29, „transparența este o obligație atotcuprinzătoare potrivit GDPR și se aplică în trei domenii de bază: (1) norma juridică prin care se stabilește informarea persoanelor vizate cu privire la prelucrarea echitabilă; (2) cum anume operatorii de date comunică cu persoanele vizate în ceea ce privește drepturile lor potrivit GDPR; (3) cum anume operatorii de date facilitează exercitarea drepturilor persoanelor vizate.” »

Drepturile persoanelor vizate – GDPR sector public

În articolul publicat în Pandectele Române nr. 2/2019 se precizează că în sectorul public există două riscuri, care cu greu se regăsesc în cel privat:

1. multitudinea de situații în care sunt prelucrate date ale unor persoane vizate vulnerabile

2. imposibilitatea utilizării temeiului prevăzut de art. 6 lit. f), interesul legitim (nu se aplică în cazul prelucrării efectuate de autorități publice în îndeplinirea atribuțiilor lor).

Potrivit autorului: „Exercitarea drepturilor persoanelor vizate prin solicitări va crește.” În acest context există următoarele probleme:

– managementul informației și verificarea identității solicitantului

– solicitările abuzive: „Trebuie verificate toate modalitățile legale prin care să fie descurajate solicitările abuzive cu mențiunea că operatorul, inclusiv autoritate sau organism public, este cel care trebuie să demonstreze caracterul abuziv. Cereri repetitive, solicitări anonime, solicitări ale datelor pe care persoana vizată le cunoaște deja sunt modalități de hărțuire a entităților publice, dar pe care acestea trebuie să le demonstreze”.  Excepțiile, prevăzute în art. 12 GDPR, nu trebuie să încalce dreptul la informare și dreptul la exprimare, precizează autorul, întrucât dreptul la protecția datelor nu este un drept absolut: „În cazul în care cererile din partea unei persoane vizate sunt în mod vădit nefondate sau excesive, în special din cauza caracterului lor repetitiv, operatorul poate fie să perceapă o taxă rezonabilă ținând cont de costurile administrative pentru furnizarea informațiilor sau a comunicării sau pentru luarea măsurilor solicitate, fie să refuze să dea curs cererii. În aceste cazuri, operatorului îi revine sarcina de a demonstra caracterul vădit nefondat sau excesiv al cererii.”

– dreptul la ștergere: „atât de cunoscut și de (a)clamat aproape că nu se aplică în sectorul public, având în vedere excepțiile prevăzute de regulament, și anume nu poate fi exercitat cu privire la aplicarea dreptului la liberă exprimare și la informare, pentru respectarea unei obligații legale care prevede prelucrarea în temeiul dreptului Uniunii sau al dreptului intern care se aplică operatorului sau pentru îndeplinirea unei sarcini executate în interes public sau în cadrul exercitării unei autorități oficiale cu care este învestit operatorul, din motive de interes public în domeniul sănătății publice, în scopuri de arhivare în interes public, în scopuri de cercetare științifică sau istorică ori în scopuri statistice sau pentru constatarea, exercitarea sau apărarea unui drept în instanță [art. 17 alin. (3)]. Desigur, acest drept s-ar putea exercita în situația în care datele sunt prelucrate de autoritatea sau organismul public în scopuri de marketing, când persoana vizată și-a dat consimțământul pentru prelucrare. Entitățile publice trebuie să pună în practică dreptul la ștergere fără solicitarea persoanelor vizate în situația în care aplică alte reglementări, cum ar cele referitoare la liberul acces la informațiile de interes public sau din Legea nr. 109/2007 privind reutilizarea informațiilor din instituțiile publice.

 răspunsul la cereri: „Operatorul trebuie să răspundă într-o lună de la formularea cererii, însă trebuie observat cu atenție temeiul cererii. Dacă solicitantul formulează cererea în temeiul unei alte legi, de exemplu, a Legii nr. 544/2001 privind liberul acces la informațiile de interes public dar solicitarea se referă la exercitarea drepturilor asupra datelor cu caracter personal ale persoanei vizate, atunci cererea va fi corect încadrată și se va răspunde potrivit legislației proprii.

Exercitarea anumitor drepturi, nu pun doar probleme de calificare din punctul de vedere al termenelor dar și din punctul de vedere al exercitării drepturilor. Aceasta are influență și asupra activității responsabilului cu protecția datelor care nu trebuie să avizeze toate contractele doar pentru că, evident, conțin date cu caracter personal. Dreptul la rectificare are conotații specifice pentru că poate infera cu reglementări speciale care privesc drepturi civile.”

Desemnarea responsabilului cu protecția datelor (DPO) – GDPR sector public

Referitor la desemnarea DPO în cadrul autorităților publice, Daniel Mihai Șandru precizează care sunt elementele specifice: «Pentru toate entitățile publice, fără excepție, desemnarea unui responsabil cu protecția datelor (DPO) este obligatorie, cu excepția instanțelor care acționează în exercițiul funcției lor jurisdicționale.

Anumite dispoziții din Regulament facilitează desemnarea responsabilului însă mai rămân elemente necunoscute la nivelul legislației naționale dar și probleme de ordin practic privind desemnarea unui DPO pentru mai multe autorități și organisme publice, în conformitate cu art. 37 alin. (3) din GDPR: „În cazul în care operatorul sau persoana împuternicită de operator este o autoritate publică sau un organism public, poate fi desemnat un responsabil cu protecția datelor unic pentru mai multe dintre aceste autorități sau organisme, luând în considerare structura organizatorică și dimensiunea acestora.”

Proceduri specifice autorităților și organismelor publice în domeniul GDPR

În ceea ce privește procedurile specifice autorităților publice în domiul GDPR, Daniel Mihai Șandru expune câteva recomandări, necesare în contextul actual al reglementărilor naționale:

– Coduri de conduită: „Din punctul de vedere al procedurilor, este necesar să se discute prin organizațiile reprezentate, în special asociații, elaborarea de coduri de conduită pentru anumite tipuri de entități din administrația publică, de exemplu, pentru primării. Dacă entitatea are pagini pe rețele sociale, va trebui să informeze în mod corespunzător persoanele avizate despre aceasta pe pagina web proprie dar și pe rețelele sociale.”

– Actualizarea constantă a informațiilor importante: „Chiar dacă a trecut un an de la punerea în aplicare, toate entitățile trebuie să evalueze constant datele, să actualizeze registrul activităților (art. 30), impactul asupra vieții private (art. 35) și să depună un efort suficient de coerent pentru conștientizarea întregului personal în privința aplicării regulamentului, dar și a sancțiunilor sau daunelor pe care persoanele vizate le pot solicita.”

– Tratarea posibilelor încălcări de securitate a datelor: acestea „trebuie să se facă în condițiile legii, prin solicitarea ajutorului instituțiilor abilitate sau cu competențe. Angajații trebuie instruiți în direcția informării imediate a responsabilului cu protecția datelor a oricărui incident de securitate și asupra faptului că aceștia nu trebuie să acționeze individual pentru a înlătura posibilele consecințe. Trebuie documentate toate monitorizările pe scară largă pe care unele dintre entități sau împuterniciți se realizează pentru acestea.”

Regimul sancționator în domeniul GDPR – sector public

Regimul sancționator în domeniul GDPR este, potrivit autorului Daniel Mihail Șandru unul derogator, principalele elemente fiind expuse mai jos:

„Într-unul din puținele comunicate ale autorității române de supravegherea datelor cu caracter personal, din cele 15 exemple, niciunul nu se referă la o entitate publică. Cu toate acestea, după intrarea în vigoare a GDPR, una dintre sancțiunile cunoscute, este un avertisment pentru Primăria Cluj-Napoca (din păcate decizia nu este disponibilă, până în prezent pe site-ul autorității) pentru utilizarea e-mailului personal al funcționarului în comunicările oficiale cu petenții.

Regimul sancționator derogator pentru autorități și organisme publice pare discriminatoriu. În afara sancțiunilor aplicate de autoritatea de supraveghere trebuie luată în considerare posibilitatea persoanelor vizate de a introduce acțiune în instanță pentru daune morale.

Aplicarea sancțiunilor are două etape, reglementate distinct de Legea nr. 190/2018:

I. Aplicarea măsurilor corective autorităților și organismelor publice (art. 13)

1. În cazul constatării încălcării prevederilor Regulamentului general privind protecția datelor și ale Legii nr. 190/2018 de către autoritățile/organismele publice, Autoritatea națională de supraveghere încheie un proces-verbal de constatare și sancționare a contravenției prin care se aplică sancțiunea avertismentului și la care anexează un plan de remediere. Situația Primăriei Cluj-Napoca este unul dintre primele exemple, menționate în mediul jurnalistic, în care unul din funcționari a răspuns petentului de pe e-mailul personal. Decizia sau măsurile autorității nu sunt disponibile public. În Norvegia, unde se aplică GDPR în temeiul apartenenței la Spațiul Economic European, o amendă a vizat Primăria Bergan pentru că nu a luat măsuri tehnice și organizatorice referitoare la datele a aproximativ 35000 de peroane, respectiv elevii si profesorii școlilor.

2. Termenul de remediere se stabilește în funcție de riscurile asociate prelucrării, precum și demersurile necesar a fi îndeplinite pentru asigurarea conformității prelucrării.

3. În termen de 10 zile de la data expirării termenului de remediere, Autoritatea națională de supraveghere poate să reia controlul.

4. Responsabilitatea îndeplinirii măsurilor de remediere revine autorității/organismului public care, potrivit legii, poartă răspunderea contravențională pentru faptele constatate.

5. Modelul planului de remediere care se anexează la procesul-verbal de constatare și sancționare a contravenției este prevăzut în anexa Plan de remediere, care face parte integrantă din prezenta lege.

II. Constatarea contravențiilor și aplicarea de sancțiuni autorităților și organismelor publice (art. 14)

1. Dacă în urma controlului se constată faptul că autoritățile/organismele publice nu au adus la îndeplinire în totalitate măsurile prevăzute în planul de remediere, Autoritatea națională de supraveghere, în funcție de circumstanțele fiecărui caz în parte, poate aplica sancțiunea contravențională a amenzii, cu luarea în considerare a criteriilor prevăzute la art. 83 alin. (2) din Regulamentul general privind protecția datelor.

2. Constituie contravenție care se sancționează cu amendă de la 10.000 lei până la 100.000 lei:

2.1. încălcarea de către autoritățile/organismele publice a următoarelor dispoziții din Regulamentul general privind protecția datelor, referitoare la:

a) obligațiile operatorului și ale persoanei împuternicite de operator în conformitate cu prevederile art. 8, art. 11, art. 25-39, art. 42 și art. 43;

b) obligațiile organismului de certificare în conformitate cu art. 42 și art. 43;

c) obligațiile organismului de monitorizare în conformitate cu art. 41 alin. (4).

2.2. Constituie contravenție încălcarea de către autoritățile/organismele publice a dispozițiilor art. 3-9 din Legea nr. 190/2018, și anume prelucrarea datelor genetice, a datelor biometrice sau a datelor privind sănătatea (art. 3), prelucrarea unui număr de identificare național (art. 4), prelucrarea datelor cu caracter personal în contextul relațiilor de muncă (art. 5), prelucrarea datelor cu caracter personal și de categorii speciale de date cu caracter personal, în contextul îndeplinirii unei sarcini care servește unui interes public (art. 6), prelucrarea datelor cu caracter personal în scopuri jurnalistice sau în scopul exprimării academice, artistice sau literare (art. 7), prelucrarea datelor cu caracter personal în scopuri de cercetare științifică sau istorică, în scopuri statistice ori în scopuri de arhivare în interes public (art. 8) și prelucrarea datelor de către partide politice și organizații neguvernamentale (art. 9).

3. Constituie contravenție, care se sancționează cu amendă de la 10.000 lei până la 200.000 lei, încălcarea de către autoritățile/organismele publice a următoarelor dispoziții din Regulamentul general privind protecția datelor, referitoare la:

a) principiile de bază pentru prelucrare, inclusiv condițiile privind consimțământul, în conformitate cu art. 5-7 și art. 9;
Prima amendă a autorității belgiene de protecția datelor se referă la o primărie care nu a respectat principiile privind scopul prelucrării datelor personale. EDPB, First Belgian GDPR fine, disponibil la adresa EDPB Europa 

b) drepturile persoanelor vizate în conformitate cu art. 12-22;

c) transferurile de date cu caracter personal către un destinatar dintr-o țară terță sau o organizație internațională, în conformitate cu art. 44-49;

d) orice obligații în temeiul legislației naționale adoptate în temeiul capitolului IX;

e) nerespectarea unei decizii sau a unei limitări temporare sau definitive asupra prelucrării sau a suspendării fluxurilor de date, emisă de către Autoritatea națională de supraveghere în temeiul art. 58 alin. (2), sau neacordarea accesului, prin încălcarea dispozițiilor art. 58 alin. (1).

f) încălcarea de către autoritățile/organismele publice a unei decizii emise de Autoritatea națională de supraveghere în conformitate cu art. 58 alin. (2) coroborat cu art. 83 alin. (2) din Regulamentul general privind protecția datelor.”

Concluziile autorului

La un an de la punerea în aplicare a acestui Regulament general privind protecția datelor, în România, autoritățile și organismele publice au început și unele au și realizat conformarea cu noua legislație. Nu sunt disponibile statistici oficiale și nici măsuri sau concluzii ale autorității naționale de supraveghere a prelucrării datelor personale. Sunt încă probleme în ceea ce privește temeiurile prelucrării, în special atunci când acesta este legea, întrucât este posibil să interfereze cu unele principii, în special acela al minimizării datelor.

Adaptare după articolul Protecția datelor în cadrul autorităților și organismelor publice în România, autor Prof. univ. dr. Daniel Mihai ȘANDRU, publicat în revista Pandectele Române nr. 2/2019.

INTRA ACUM în grupul TELEGRAM "Comunitatea Dpo-NET.ro"!


Iți plac articolele dpo-NET.ro? Poți fi la curent cu toate aceste noutăți dacă ne urmărești zilnic pe paginile noastre de LinkedIn sau Facebook. 


Acest articol este protejat de către dispoziţiile legale incidente și este interzisă copierea, reproducerea, recompilarea, modificarea, precum şi orice modalitate de exploatare a acestuia. Articolele publicate pe DPO-NET.RO pot fi preluate doar în limita a maxim 500 de caractere, fără a depăşi jumătate din totalul de caractere, şi cu citarea obligatorie a sursei, cu link activ. Orice abatere de la această regulă constituie o încălcare a Legii 8/1996 privind dreptul de autor. Dacă sunteţi interesaţi de preluarea ştirilor și articolelor publicate pe DPO-NET.RO, vă rugăm să ne contactati.

Fiecare practician GDPR trebuie să aibă această carte

Administratie Publica

Vizualizari: 169696

Facebooktwittergoogle_plusredditpinterestlinkedinmail

In domeniul protecției datelor în România, anul 2021 a debutat cu relansarea pe piață a carții "GDPR Aplicat. Instrumente de lucru pentru implementarea Regulamentului UE 679/2016" ( Editia 1, Editura Wolters Kluwer). Cartea este disponibilă în webshop-ul dpo-net.ro si poate fi comandată la prețul promoțional de 110 lei. 

Conf. Univ. Dr. Nicolae Ploeșteanu - Directorul Centrului pentru Protecția Datelor - Universitatea de Medicină, Farmacie, Științe și Tehnologie „George Emil Palade” din Târgu Mureș a avut amabilitatea sa semneze prefața acestei ediții:

"Apariția volumului GDPR Aplicat, ediția a I-a, elaborat de autorii Daniela Simionovici, Daniela-Irina Cireașă, Cătălina Pantilimon și Marius-Florian Dan, reprezintă valorificarea de către aceștia, într-o editură de prestigiu precum Wolters Kluwer, a unui „succes editorial”. Prima ediție a apărut în editura Lumen și, cred eu, că datorită confirmării valorii practice a volumului, autorii au trecut de faza „timidității” începutului editorial și se adresează în prezent prin elaborarea acestei a doua ediții către dimensiunea reală a publicului interesat de domeniul protecției datelor cu caracter personal și, mai ales, către nevoile pieței de a implementa exhaustiv Regulamentul General privind Protecția Datelor, la nivelul operatorilor de date din România.

Volumul GDPR Aplicat este o idee strălucită a unui colectiv de persoane cu experiență practică și însuflețite să își pună amprenta proprie într-un domeniu în emergență, anume domeniul protecției datelor cu caracter personal. Legislația specifică pe care o abordează într-o manieră utilă și formativă este aceea care privește mai ales „GDPR”. Autorii doresc atât să se implice cât și să ofere un instrument antrenant și imediat pentru probleme practice serioase și multiplicate în activitățile curente ale operatorilor de date cu caracter personal. Toate entitățile publice și private sunt interesate să se pună de acord cu ceea ce la momentul de față este „sperietoarea” activității lor. Această intenție are sinuozități și îndoieli dar, în final, se impune practic asemănător unui standard de calitate și, în același timp, complet diferit: este diferența dintre un tablou pictat, privit ca o operă și, pe de altă parte, evoluția și inițierea unui proces juridic; oare cine are dreptate? Răspunsul este oferit cu precauție în paginile volumului acestor pionieri….În final, practica și viitorul vor fi circumstanțele în baza cărora vom argumenta liniile decisive ale acestei îndrăznețe acțiuni: protecția datelor din perspectiva unei societăți mai sigure și a unei vieți private intime fiecărei persoane fizice.

Este necesară această lucrare și îi felicit pe autori și pe cei care au contribuit pe această linie, într-un fel sau altul, la formarea acestora, iar aici mă gândesc în special la cei care au avut inițiativa de a întreprinde la Universitatea suceveană un curs postuniversitar de protecție a datelor, pe care toți autorii acestui volum l-au urmat!

Volumul este consistent: are 752 de pagini și, în esență, 14 capitole tematice, la care se adaugă anexe, bibliografie, figuri și tabele. Volumul se remarcă prin utilitate, nu prin argumentare științifică. Principala metodă de investigație utilizată în realizarea volumului este metoda experimentală.  În cele 14 capitole se tratează atât ideile de esență și directoare ale protecției datelor, precum și măsurile, acțiunile care trebuie întreprinse pentru a asigura implementarea GDPR la nivelul entităților, oferindu-se în mod constant exemple. În partea finală, referitoare la proceduri, modele și tabele ni se prezintă o varietate de exemple. Legat de structura volumul în acest context de evaluare pot fi extrem de încrezător în a afirma că este complet antamat pe necesitățile practice. Demersul autorilor va fi îmbogățit în edițiile viitoare, prin practica viitoare și abordarea unor tematici de nișă, cum este aceea a transferului internațional de date.

Pentru elaborarea volumului GDPR aplicat este cert că autorii au alocat un timp prețios și o disponibilitate aparte, poate chiar încercată și deloc ușoară. La momentul de față, astfel  cum se numește în partea secundă a sa, „Instrument de lucru pentru implementarea Regulamentului UE 679/2016” este instrumentul cel mai valoros de pe piața din România, pentru toți cei implicați în acest fenomen. Nu este un volum științific ci este exact ceea ce se numește: „Instrument de lucru…”. Dar este cel mai bun în domeniul GDPR. Îndrăznesc să afirm, pentru întreaga masă de profesioniști și interesați în domeniu, că utilizând acest volum pot să aibă siguranța conformității pentru o medie a entităților, într-un procent de aproximativ 90%. Oricum, până la apariția vreunui volum mai exhaustiv sau sintetic, acesta este, în opinia mea, sub aspect practic numărul 1 în România.

În mod interesant, lucrarea este utilă atât pentru practicieni cât și pentru directorii executivi ai companiilor. În prima parte, se oferă lecții nenumărate pentru management cum ar trebui să regândească sistemul propriu în care activează și, sigur că da, în același timp practicienii vor avea nenumărate soluții și documente la dispoziție pentru a sprijini companiile sau autoritățile în implementarea GDPR. Spre exemplu, la nivel de management este expusă povestea așteptării unui standard cumpărat și implementat imediat, cu deziluzia că așa ceva nu s-a putut întâmpla…Se caută vina la consultant și nu se poate direcționa juridic. Ce facem de aici încolo? Cât mai trebuie să stăm împiedicați de protecția datelor?

La nivel de executiv, lucrurile se complică deoarece pe lângă aceste instruiri, adevăratul specialist în protecția datelor trebuie să devină un real confident al companiei și să contribuie la rebreduirea acesteia. Va fi acceptat? Va fi înghițit? Volumul răspunde acestor întrebări într-o manieră sinceră și corectă!

Autorii au investit pasiune și interes suprapuse pe ideea importanței formării continue și a observației și cercetării cu demonstrații. Spuneam că autorii sunt într-o mare măsură pionieri: au simțit flexibilitatea și dinamica domeniului și au considerat că pot să afirme reguli, aspect care s-a confirmat în mod evident. De aici, apare una din primele trăsături ale lucrării, anume că la fiecare domeniu și secțiune se începe cu o „poveste” legată de ce se întâmplă în practică atunci când se urmărește implementarea GDPR: totul prinde contur și devine extrem de narativ și util în același timp. Spre exemplu, cuvântul introductiv debutează exact cu cea mai importantă parte a implementării GDPR, anume aceea a conștientizării și educației: „Etica reprezintă o invitație la conștientizarea consecințelor a ceea ce se face”

În al doilea rând, se face o descriere juridică a fiecărui concept principal utilizat în GDPR, inclusiv descrierea faptică alăturată. Dacă deschid la întâmplare volumul, ajung, spre exemplu la pagina 59, unde se vorbește de pseudonimizare, despre care se afirmă în mod corect că „are o componentă obligatorie și anume reversibilitatea acesteia. Reversibilitatea este tehnica inversă pseudonimizării, adică, folosind informații suplimentare, pe care doar operatorul le are, datele pot deveni, din nou, „clare”(…)” Aceasta este o obligație specifică în anumite condiții a operatorului de date.

În al treilea rând se oferă de către autori la fiecare argumentare sistematic prezentată, un exemplu, de regulă referit de ghidurile de implementare și orientare realizate de fostul Grup de lucru articolul 29, în prezent înlocuit de Comitetul european pentru protecția datelor stabilit prin GDPR. Această modalitate de expunere conferă instruire și înțelegere cititorului și practicianului, deoarece exemplele sunt extrem de relevante și fin relevate.

Nu în ultimul rând, trebuie remarcată referirea la practica instanțelor din România și a instanțelor europene în domeniul protecției datelor cu caracter personal, chestiune utilă deoarece contribuie la statuarea definitivă a unor linii de interpretare a domeniului analizat.

Consider că fiecare practician trebuie să aibă această lucrare pentru că îl va ajuta în implementarea GDPR. Lucrarea conține atât conținut cu documentare științifică cât și conținut aplicativ corect dar orientativ și specific ghidurilor.

În ceea ce mă privește, sunt încântat că autorii  Daniela Simionovici, Daniela-Irina Cireașă, Cătălina Lungu și Marius-Florian Dan, mi-au fost pentru o scurtă perioadă „studenți”, deoarece orice dascăl este împlinit când este depășit de proprii studenți. I-am întâlnit cu ocazia unei competiții în domeniul protecției datelor, desfășurată la Târgu Mureș, și am simțit că este vorba de un grup cu potențial reformator. Au demonstrat în interesul comunității din România acest lucru. Le doresc mult succes și felicitări pentru demersurile continue pe care le întreprind în domeniul protecției datelor cu caracter personal."

 

INTRA ACUM în grupul TELEGRAM "Comunitatea Dpo-NET.ro"!


Iți plac articolele dpo-NET.ro? Poți fi la curent cu toate aceste noutăți dacă ne urmărești zilnic pe paginile noastre de LinkedIn sau Facebook. 


Acest articol este protejat de către dispoziţiile legale incidente și este interzisă copierea, reproducerea, recompilarea, modificarea, precum şi orice modalitate de exploatare a acestuia. Articolele publicate pe DPO-NET.RO pot fi preluate doar în limita a maxim 500 de caractere, fără a depăşi jumătate din totalul de caractere, şi cu citarea obligatorie a sursei, cu link activ. Orice abatere de la această regulă constituie o încălcare a Legii 8/1996 privind dreptul de autor. Dacă sunteţi interesaţi de preluarea ştirilor și articolelor publicate pe DPO-NET.RO, vă rugăm să ne contactati.

IMPACTUL INVALIDĂRII PRIVACY SHIELD SI POSIBILE SOLUTII PENTRU OPERATORII DE DATE PERSONALE

Administratie Publica

Vizualizari: 132619

Facebooktwittergoogle_plusredditpinterestlinkedinmail

16 iulie 2020. O dată de referință pentru istoria protecției datelor personale. O dată de la care aproape toți operatorii de date personale din România ar trebui să-și reconsidere soluțiile de tip website, găzduire e-mail, servicii de newsletter, cloud, conturi pe rețele de socializare, cookie-ului de analiză, remarketing, aplicații diverse, găzduire de baze de date etc.

Despre autor: Daniela-Irina Cireasa este Senior Partner la NeoPrivacy Romania, a absolvit Facultatea de Drept, Universitatea Nicolae Titulescu și este consilier juridic din anul 2001. In 2018 a absolvit cursurile postuniversitare de protectia datelor „Protectia juridica a datelor personale”. Este membru ASCPD si a obtinut titlul de „Cel mai bun DPO din Romania” impreuna cu Echipa Nord Est DPO Romania la Targu Mures in iunie 2019. A realizat consultanta in domeniul implementarii Regulamentului general privind protectia datelor (GDPR) si este responsabil cu protectia datelor (DPO). Cei 17 ani de activitate practica din care 4 ani in functie de conducere, au ajutat la cunoasterea mediului privat de afaceri si respectiv a activitatii departamentelor din cadrul unei societati de productie si comert, precum si schimburi intracomunitare. Participa activ la dezbateri si conferinte dedicate dreptului la viata privata si protectiei datelor.

Dar cum am ajuns aici si ce s-a întâmplat pe 16 iulie 2020?

Problematica transferurilor de date personale între Uniunea Europeană și Statele Unite ale Americii a preocupat legiuitorii europeni încă de la momentul Directivei 95/46/CE care permitea transferurile de date personale în țări terțe pe fondul dezvoltării comerțului internațional, stabilind totodată că acest transfer nu este permis într-o țară terță care nu asigură un nivel de protecție adecvat cu excepția cazului în care operatorul oferă garanții suficiente privind atât protecția vieții private și a drepturilor și libertăților fundamentale ale persoanelor, cât și exercitarea drepturilor corespunzătoare, garanțiile urmând a fi adoptate prin Clauze contractuale standard (CCS).

În temeiul prevederilor Directivei, a fost adoptată Decizia Comisiei 2000/520/CE care recunoștea un nivel adecvat de protecție pentru transferul de date din Comunitate către Statele Unite ale Americii organizațiilor care “respectă principiile „sferei de siguranță” privind protecția vieții private pentru protecția datelor cu caracter personal transferate dintr-un stat membru în Statele Unite ale Americii (Safety Harbour).

Prin Hotărârea din 6 octombrie 2015, Schrems I (C‑362/14, EU:C:2015:650), Curtea a declarat nevalidă Decizia 2000/520/CE a Comisiei din 26 iulie 2000 în temeiul Directivei 95/46 privind caracterul adecvat al protecției oferite de principiile „sferei de siguranță” privind protecția vieții private și întrebările de bază aferente, publicate de Departamentul Comerțului al S.U.A., în care Comisia constatase că această țară terță asigura un nivel de protecție adecvat. Numele cauzei (Schrems I) provine de la numele activistului Max Schrems, utilizator al platformei de socializare Facebook. Acesta a reclamat faptul că orice persoană care are reședința pe teritoriul Uniunii Europene trebuie să încheie, la momentul înscrierii pe rețeaua de socializare, un contract cu Facebook Ireland, filială a Facebook Inc., stabilită în Statele Unite. Datele cu caracter personal ale utilizatorilor Facebook care au reședința pe teritoriul Uniunii sunt, în tot sau în parte, transferate către servere aparținând Facebook Inc., situate pe teritoriul Statelor Unite, unde fac obiectul unei prelucrări.

În anul 2010 este emisă Decizia 2010/87/UE privind clauzele contractuale tip pentru transferul de date cu caracter personal către persoanele împuternicite de către operator stabilite în țări terțe în temeiul Directivei 95/46/CE a Parlamentului European și a Consiliului prin care se consideră că clauzele contractuale tip prevăzute în anexă oferă garanții corespunzătoare în ceea ce privește protecția vieții private și a drepturilor și libertăților fundamentale ale persoanelor și cu privire la exercitarea drepturilor corespunzătoare în temeiul articolului 26 alineatul (2) din Directiva 95/46/CE. Decizia se aplică transferului de date cu caracter personal de către operatorii stabiliți în Uniunea Europeană către destinatari stabiliți în afara teritoriului Uniunii Europene, care îndeplinesc în exclusivitate rolul de persoane împuternicite de către operator.

Clauzele contractuale standard conțin informații cu privire la identitatea celor două părți (exportatorul și importatorul de date personale), definiții, date privind transferul, clauza terțului beneficiar (persoana vizată), obligațiile celor două părți, răspunderea acestora, mediere și jurisdicție, cooperarea cu autoritățile de supraveghere, legea aplicabilă, subcontractarea serviciilor de prelucrare a datelor dar și obligații după încheierea serviciilor de prelucrare a datelor cu caracter personal. Este de menționat faptul că în Apendicele 2, clauzele cuprind o listă a măsurilor tehnice și organizatorice de securitate puse în aplicare de către importatorul de date.

În anul 2016 este emisă Decizia 2016/1250 a comisiei privind caracterul adecvat al protecției oferite de Scutul de confidențialitate UE-SUA (Privacy Shield) care susținea Statele Unite garantează un nivel adecvat de protecție a datelor cu caracter personal transferate din Uniune către organizații din Statele Unite în temeiul Scutului de confidențialitate UE-SUA.

Pentru a face parte din Privacy Shield, organizațiile trebuiau să adere la acesta, în baza unei autocertificări prin care organizațiile din SUA se angajează să respecte un set de principii privind protecția vieții private. Decizia permitea astfel transferurile de la un operator sau de la o persoană împuternicită de operator în Uniune către organizații din SUA care și-au autocertificat adeziunea la principii către Departamentul Comerțului și s-au angajat să le respecte.

La data de 16 iulie 2020, CJUE, în Cauza C-311/18 (Schrems II) a invalidat Decizia 2016/1250 privind caracterul adecvat al protecției oferite de Scutul de confidențialitate UE-SUA, cunoscut sub numele de Privacy Shield, deoarece a considerat că nu asigură nivelul de protecție oferit de RGPD (garanții adecvate, drepturi opozabile și căi de atac eficiente) din cauza gradului excesiv de intruziune a autorităților americane (NSA, FBI). Totodată, prin hotărâre s-a validat Decizia 2010/87 a Comisiei privind clauzele contractuale standard pentru transferul de date cu caracter personal către persoanele împuternicite de către operator stabilite în țări terțe. Toodată, Curtea a hotărât că decizia are aplicabilitate imediată, fără a se crea un vid legislativ deoarece RGPD oferă modalități alternative de a transfera date personale în condiții de legalitate.

 IMPLICAȚII ALE INVALIDĂRII SCUTULUI DE CONFIDENȚIALITATE PENTRU OPERATORII DIN UE ȘI PERSOANELE VIZATE

Invalidarea Deciziei Scutului de confidențialitate a avut ecou în rândul specialiștilor în protecția datelor din întreaga lume, însă, cei afectați direct, respectiv operatorii de date personale și persoanele vizate, nu par a  fi la curent cu această decizie sau, în orice caz, nu par a conștientiza efectele ei. Așa cum arătam în introducere, decizia influențează alegerea de către operatori a soluțiilor de tip website, găzduire e-mail, servicii de newsletter, conturi pe rețele de socializare, cookie-ului de analiză, aplicații diverse, găzduire de baze de date și, în general, orice transfer de date personale din Uniune către Statele Unite.

Operatorii ar putea spune că ei nu fac niciun transfer de astfel de date către SUA, uitând să analizeze furnizorii de servicii de tip newsletter, spre exemplu, sau categoriile de cookie instalate pe website-ul companiei. Transferurile de acest tip sunt frecvente și mulți dintre operatori le-au făcut și încă le fac inconștient. Menționăm aici lipsa acordurilor încheiate cu persoanele împuternicite chiar și anterior Deciziei de invalidare a scutului de confidențialitate, utilizarea încă frecventă a adreselor de e-mail de tip yahoo sau gmail în scop profesional. Revenind la problematica ridicată de către Decizie, apreciem că efectele acesteia nu sunt cunoscute încă nici de către operatori și nici de către persoanele vizate.

Reacția Facebook, spre exemplu, este aceea că va continua să prelucreze datele personale ale utilizatorilor deoarece o face în baza unor Clauze contractuale standard și nu a Privacy Shield. Menționăm că autoritatea de supraveghere din Irlanda a pus în vedere Facebook Ireland să înceteze transferurile către Facebook Inc., decizie contestată de către Facebook.

NOYB, European Center for Digital Rights, a luat atitudine și a făcut plângere la autoritățile de supraveghere competente în temeiul articolelor 77 (1) și 80 (1) din RGPD împotriva a 101 operatori din Uniunea Europeană care utilizează în continuare soluții care implică transferul de date personale către SUA. Cu excepția a trei operatori din Liechtenstein care au renunțat la utilizarea Google Analitics și Facebook Connect, niciunul dintre ceilalți operatori nu a luat măsuri de încetare a transferurilor de date personale către SUA.

Doi dintre operatori sunt platforme de știri din România, respectiv hotnews.ro și gsp.ro pentru utilizarea Facebook Connect, respectiv Google Analytics. Subliniem faptul că majoritatea site-urilor din România utilizează astfel de soluții și, cel mai probabil, vor trebui să găsească alte soluții, fie să demonstreze existența unui temei legal pentru transferurile efectuate. La data de 4 septembrie 2020, EDPB a anunțat înființarea unui grup de lucru care să analizeze plângerile formulate în urma hotărârii CJUE din cauza Schrems II. Grupul de lucru va analiza problematica și va asigura o strânsă legătură între membrii Comitetului.

De asemenea,  ca urmare a Hotărârii în cazul Schrems II, EDPB a decis înființarea unui grup de lucru care să pregătească recomandări pentru operatori și persoane împuternicite care să-i ajute în a identifica și implementa măsuri suplimentare optime care să asigure protecție adecvată la transferul datelor în țări terțe

În ceea ce privește persoanele vizate, considerăm că acestea nu au fost informate transparent cu privire la transferurile propriilor date personale prin simpla utilizare a unui site și nici nu au putut previziona cine are acces, cu adevărat, la acestea.

POSIBILE SOLUȚII

Comitetul European pentru Protecția Datelor (EDPB) a făcut o listă cu cele mai frecvente întrebări ridicate de invalidarea Scutului de Confidențialitate, simpla parcurgere a acestora creionând impactul major al acestei decizii asupra activității operatorilor din Uniune. Plecând de la răspunsurile oferite de către EDPB, de la concluziile Curții și de la dispozițiile Regulamentului (RGPD), s-au conturat câteva posibile soluții.

Transferurile de date personale efectuate în prezent în temeiul Scutului de confidențialitate sunt ilegale. În vederea continuării transferului de date trebuie identificate alte condiții/temeiuri de transfer cum sunt cele ce urmează.

Situația trebuie, totuși, analizată de la caz la caz, făcându-se o evaluare în urma căreia să rezulte măsuri suplimentare de protecție care trebuie puse în aplicare, pe baza unor Clauze contractuale standard (cunoscute sub numele de CCS). Măsurile suplimentare, împreună cu CCS, în urma analizei fiecărui caz în parte, a circumstanțelor privind transferul, ar trebui să se asigure că legislația SUA nu afectează nivelul adecvat de protecție garantat. CJUE a declarat în mod clar că CCS-urile nu pot fi utilizate dacă destinatarul din SUA este supus legilor de supraveghere ale SUA (cum ar fi FISA 702). În cazul în care rezultatul analizei indică faptul că nu pot fi aplicate garanții suficiente, transferul ar trebui să înceteze. În situația în care acesta nu încetează, ar trebui anunțată autoritatea de supraveghere competentă.

Având în vedere hotărârea Curții, care invalidează Scutul de Confidențialitate din cauza gradului de interferență creat de către legea din SUA cu drepturile fundamentale ale persoanelor ale căror date sunt transferate în țara terță și faptul că  Scutul de Confidențialitate a fost proiectat să aducă garanții că datele sunt transferate cu instrumente de tipul Regulilor corporatiste obligatorii, hotărârea Curții se aplică și în contextul Regulilor corporatiste obligatorii deoarece legislația americană va avea supremație și asupra acestui instrument.

Garanțiile suficiente prevăzute în articolul 46 trebuie analizate, în conformitate cu hotărârea Curții, ținându-se seama de faptul că acest articol este parte a Capitolul V din RGPD și că trebuie citit prin prisma prevederii din teza finală a articolului 44 și anume “toate dispoziţiile din prezentul capitol se aplică pentru a se asigura că nivelul de protecţie a persoanelor fizice garantat prin prezentul regulament nu este subminat.

Pentru realizarea de transferuri putem apela în continuare la derogările din art. 46 RGPD care precizează că în absența unei decizii a Comisiei, se pot face transferuri către țări terțe sau organizații internaționale în baza unor garanții adecvate și cu condiţia să existe drepturi opozabile şi căi de atac eficiente pentru persoanele vizate. În afara unor garanții adecvate care implică fie autorităție de supraveghere, fie Comisia sau regulile corporatiste obligatorii, regăsim la alin. 3, lit. “a) clauze contractuale între operator sau persoana împuternicită de operator şi operatorul, persoana împuternicită de operator sau destinatarul datelor cu caracter personal din țară terță sau organizația internațională”, sub rezerva autorizării din partea autorităţii de supraveghere competente.

Chiar dacă, după cum a subliniat Curtea, este responsabilitatea principală a exportatorilor de date și a importatorilor de date să se asigure că legislația țării terțe de destinație permite importatorului de date să respecte clauzele standard de protecție a datelor sau Regulile corporatiste obligatorii înainte de a transfera date cu caracter personal către respectiva țară terță, autoritățile de supraveghere vor avea, de asemenea, un rol esențial atunci când se aplică RGPD și atunci când se emit decizii cu privire la transferurile către țări terțe.

Articolul 49 din RGPD ne oferă, de asemenea, o altă soluție, în absența unei decizii a Comisiei și a garanțiilor adecvate și anume transferurile de date cu caracter personal către o țară terță sau o organizație internațională pot avea loc numai în una dintre condiţiile următoare:

a) persoana vizată şi-a exprimat în mod explicit acordul cu privire la transferul propus, după ce a fost informată asupra posibilelor riscuri pe care astfel de transferuri le pot implica pentru persoana vizată ca urmare a lipsei unei decizii privind caracterul adecvat al nivelului de protecţie şi a unor garanţii adecvate;

  1. b) transferul este necesar pentru executarea unui contract între persoana vizată şi operator sau pentru aplicarea unor măsuri precontractuale adoptate la cererea persoanei vizate;
  2. c) transferul este necesar pentru încheierea unui contract sau pentru executarea unui contract încheiat în interesul persoanei vizate între operator şi o altă persoană fizică sau juridică;
  3. d) transferul este necesar din considerente importante de interes public;
  4. e) transferul este necesar pentru stabilirea, exercitarea sau apărarea unui drept în instanţă;
  5. f) transferul este necesar pentru protejarea intereselor vitale ale persoanei vizate sau ale altor persoane, atunci când persoana vizată nu are capacitatea fizică sau juridică de a-şi exprima acordul;
  6. g) transferul se realizează dintr-un registru care, potrivit dreptului Uniunii sau al dreptului intern, are scopul de a furniza informaţii publicului şi care poate fi consultat fie de public în general, fie de orice persoană care poate face dovada unui interes legitim, dar numai în măsura în care sunt îndeplinite condiţiile cu privire la consultare prevăzute de dreptul Uniunii sau de dreptul intern în acel caz specific.”

Referitor la teza de la lit a), respectiv consimțământul persoanei vizate, EDPB reamintește condițiile referitoare la consimțământ, în mod special consimțământul trebuie să fie explicit, specific și informat.

Așadar, există soluții pentru continuarea transferului de date personale către țări terțe sau organizații internaționale. Apreciem că multe dintre transferurile efectuate până la hotărârea Curții au încetat sau vor înceta, însă transferurile cu adevărat întemeiate se vor putea efectua în continuare cu respectarea restricțiilor și condițiilor impuse, finalitatea fiind apărarea drepturilor și intereselor cetățenilor europeni. Așteptăm cu interes recomandările EDPB pentru operatori și persoane împuternicite, până la apariția acestora facem câteva recomandări pentru operatorii de date personale în vederea respectării deciziei de invalidare a Scutului de confidențialitate:

  • În cazul soluțiilor de tip newsletter puteți înlocui aplicațiile din SUA cu soluții din Uniune sau chiar din România.
  • Site-urile de tip Wordpress, spre exemplu, asigură unelte de analiză a traficului asemănătoare cu Google Analytics, putându-se elimina acest tip de cookie.
  • Recomandăm eliminarea adreselor de tip yahoo și gmail în scop profesional și înlocuirea acestora cu domenii de e-mail găzduite în Uniunea Europeană. De asemenea, domeniile găzduite în țări terțe ar trebui mutate pe servere din uniunea Europeană.
  • Platformele site-urilor web găzduite în SUA pot fi înlocuite cu platforme găzduite în Uniunea Europeană.
  • Recomandăm înlocuirea aplicatiilor de transfer de documente cu soluții găzduite în UE.
  • De asemenea, serviciile de plată online de tipul Paypal pot fi înlocuite cu procesatori de plăți cu cardul din România, serviciile de remarketing de la Google pot fi eliminate și utilizate servicii din UE, aceeași soluție fiind valabilă și în cazul serviciilor de cloud.

Ori de câte ori se fac transferuri în SUA, utilizatorii trebuie informați transparent, în conformitate cu articolul 13 din RGPD, iar dacă prelucrarea / transferul se bazează pe consimțământ, operatorii trebuie să se asigure că au obținut un consimțământ valid.

Ca o recomandare generală, consiliem operatorii de date personale din România să își reanalizeze lista furnizorilor de servicii ce au calitatea de persoană împuternicită și să verifice țările către care se face transferul datelor prelucrate, iar, în cazul identificării de transferuri în țări terțe, să evalueze situația și să decidă asupra oportunității de a schimba acești furnizori cu furnizori de servicii din Uniunea Europeană.

CONCLUZII

Urmare a hotărârii CJUE în Cauza Schrems II  autoritățile de supraveghere din Europa au luat poziție în cazul transferurilor de date personale către SUA. Autoritatea de supraveghere din Elveția, țară care avea propriul acord cu Statele Unite, a invalidat acordul Elveția - SUA Privacy Shield în temeiul căruia se făceau transferurile de date personale ale cetățenilor elvețieni către SUA. Autoritățile elvețiene au anunțat în data de 8 septembrie 2020 că Statele Unite au fost scoase din lista țărilor care oferă protecție adecvată în anumite condiții deoarece nu asigură protecția necesară.

De asemenea, Comitetul „Convenției 108” și Comisarul pentru protecția datelor al Consiliului Europei au solicitat, ambii, adoptarea standardelor legale internaționale pentru protecția datelor în urma hotărârii Schrems II. Într-o declarație comună aceștia au afirmat că „Țările trebuie să fie de acord la nivel internațional cu privire la măsura în care supravegherea efectuată de serviciile de informații poate fi autorizată, în ce condiții și în ce măsuri de protecție, inclusiv o supraveghere independentă și eficientă”.

Autoritățile de supraveghere din Berlin, Hamburg dar și autoritatea olandeză recomandă încetarea transferurilor către SUA. Autoritatea berlineză recomandă chiar retragerea datelor din SUA. Mai multe autorităților de supraveghere subliniază necesitatea unor analize suplimentare și evaluări de la caz la caz.

Menționăm că autoritatea de supraveghere din Irlanda a pus în vedere Facebook să înceteze transferurile de date către SUA. Urmare a acestei somații, la data de 11 septembrie 2020, Facebook a început acțiuni în justiție împotriva Comisiei irlandeze pentru protecția datelor (IDPC), lansând un recurs în Irlanda în încercarea de a opri ordinul preliminar al IDPC de a suspenda utilizarea clauzelor contractuale standard (CSC) în transferurile de date UE-SUA.

CNIL a solicitat autorităților franceze să oprească cât mai repede posibil găzduirea platformei de date privind sănătatea pentru cercetare de către Microsoft, având în vedere recenta invalidare a Privacy Shield. Secretarul de stat pentru digital a anunțat în aceeași zi că lucrează cu ministrul sănătății pentru a repatria această platformă în infrastructurile franceze sau europene.

Facebook a considerat propunerea ca fiind prematură și a îndemnat autoritatea de reglementare irlandeză să adopte o abordare pragmatică și proporțională până când se poate ajunge la o soluție durabilă pe termen lung, deoarece susține că ordinul preliminar a fost decis înainte ca Facebook să primească îndrumări de la Comitetul european pentru protecția datelor.

Rămâne de văzut ce recomandări va emite grupul de lucru recent înființat la nivelul EDPB și cum vor putea fi acestea puse în practică atât de către operatori cât și de către autoritățile de supraveghere.

Amintim că suntem la începutul unui nou an școlar, în condiții restrictive pentru toți subiecții implicați, opțiunea desfășurării ședințelor, întâlnirilor și orelor on-line cu părinți, profesori și elevi fiind din ce în ce mai utilizată. Majoritatea platformelor utilizate pe perioada stării de urgență și a stării de alertă transferau date în SUA. Ministerul Educației și Cercetării a anunțat la data de 2 septembrie 2020 că, în colaborare cu Google (Meet) și Microsoft (Teams) pune la dispoziție în mod gratuit platforme educaționale, ambele platforme aparținând unor companii americane.

Adăugăm la lista platformelor care transfera date in SUA și noua facilitate a Anaf, de identificare vizuală în spațiul virtual printr-o platformă dedicată, platforma utilizată, conform declarațiilor utilizatorilor, fiind Zoom, platformă care a fost în trecut ținta unor atacuri din partea hackerilor.

O dovadă în plus că în România operatorii, fie ei de stat sau privați, nu au asimilat informația invalidării Scutului de confidențialitate sunt magazinele online sau simple site-uri de prezentare care utilizează în continuare suita de cookie-uri de analiză de la Google, soluții de newsletter sau de plată americane etc. Chiar și site-urile candidaților la alegerile locale au astfel de cookie-uri instalate. Apreciem că majoritatea operatorilor utilizează aceste soluții fără a fi deplin conștienți de implicații.

Apreciem că suntem încă departe de o nouă înțelegere între UE și SUA deși recomandările pentru SUA au devenit și mai urgențe: (1) adoptarea unei legislații federale cuprinzătoare privind confidențialitatea, (2) înființarea unei agenții independente de protecție a datelor și (3) ratificarea Convenției Consiliului Europei privind confidențialitatea. Actuala situație de incertitudine afectează atât companiile europene și americane cât și drepturile și interesele cetățenilor europeni.

NYOB a efectuat în perioada iulie - septembrie 2020 o interpelare a 33 de companii care transferă date în SUA iar reacțiile acestora au fost dintre cele mai variante de la lipsa unui răspuns pâna la răspunsuri vagi sau lipsite de substanță. Companii precum Airbnb, Netflix sau Whatsapp nu au răspuns deloc, în timp ce altele au răspuns făcând trimitere la Politici de confidențialitate care nu răspund întrebarilor punctuale adresate sau prin punerea la dispoziție a unor Clauze contractuale standard vădit neacoperitoare deoarece companiile respective se supun legislației americane intruzive.

Recomandăm tuturor operatorilor de date personale din România să apeleze la specialiști în domeniul protecției datelor personale, singurii care, la momentul actual, sunt la curent cu noutățile în domeniu și sunt în măsură să explice operatorilor toate implicațiile și să ofere soluții conforme cu legislația protecției datelor.

INTRA ACUM în grupul TELEGRAM "Comunitatea Dpo-NET.ro"!


Iți plac articolele dpo-NET.ro? Poți fi la curent cu toate aceste noutăți dacă ne urmărești zilnic pe paginile noastre de LinkedIn sau Facebook. 


Acest articol este protejat de către dispoziţiile legale incidente și este interzisă copierea, reproducerea, recompilarea, modificarea, precum şi orice modalitate de exploatare a acestuia. Articolele publicate pe DPO-NET.RO pot fi preluate doar în limita a maxim 500 de caractere, fără a depăşi jumătate din totalul de caractere, şi cu citarea obligatorie a sursei, cu link activ. Orice abatere de la această regulă constituie o încălcare a Legii 8/1996 privind dreptul de autor. Dacă sunteţi interesaţi de preluarea ştirilor și articolelor publicate pe DPO-NET.RO, vă rugăm să ne contactati.

CERT-RO protejează digital sănătatea României

Faptul că sectorul medical din România este puternic solicitat de pandemia COVID-19 nu este o noutate. Din păcate, chiar săptămâna trecută unul dintre spitalele municipale din România a […]

ASCPD solicită Ministerului Educației eliminarea consimțământului ca temei legal de prelucrare

Conform unui comunicat de presă, Asociația Specialiștilor în Confidențialitatea și Protecția Datelor (ASCPD) a sesizat Ministerul Educației și Cercetării privind articolul 5, alin. 2 din Procedura privind modul de […]

PECB semnează un parteneriat cu NeoPrivacy România și lansează cursurile recunoscute internațional

PECB Group Inc. Canada a anunțat semnarea un nou acord de parteneriat cu NeoPrivacy România, pentru a distribui cursuri de formare PECB, recunoscute internațional. „Suntem foarte încântați de […]

Belgia: Ghid privind verificările temperaturii la intrarea în incinte

În data de 5 iunie 2020, Autoritatea de Supraveghere din Belgia a publicat un ghid cu privire la verificările de temperatură în timpul crizei COVID-19, având în vedere […]

Digisign ofera un cadou fiecarui absolvent al cursului online GRATUIT

Astazi, 23 Aprilie 2020, este lansat un nou curs online actualizat, oferit GRATUIT, avand tema „Informatii introductive despre utilizarea semnaturilor electronice” si care isi propune sa ofere informații […]

Președintele Republicii Moldova a făcut public numele unui pacient infectat cu coronavirus

Conform site-ului de striri realitatea.md,  Igor Dodon, Președintele Republicii Moldova,  a dezvăluit în timpul conferinței de presă  numele si prenumele femeii care a fost diagnosticată pozitiv cu coronavirus […]

Fenomenul FAKENEWS pierdut de sub control. „Spălați-vă mâinile, nu creierele!”

Acum câteva zile am citit întâmplător pe Fecebook un îndemn, „Spălați-vă mâinile, nu creierele!”. Acesta a fost și momentul în care am realizat că fenomenul Fakenews în România […]

Participa la DPO TOOLS Workshop – 23 / 24 Martie 2020 – „Mobilitatea, o provocare pentru aplicarea GDPR”

La nivelul dispozitivelor mobile, au aparut in ultima perioada noi variante de atacuri informatice menite de a extrage informatii cu caracter personal cunoscute sub forma furtului de identitate […]

Trevor Hughes, CEO IAPP: „În domeniul protecției datelor, avem o nouă profesie hibridizată”

Participând la cea de-a 13-a ediție a Conferinței pentru informatică, confidențialitate și protecția datelor (CPDP2020), desfășurată la Bruxelles în perioada 22-24 ianuarie 2020, Trevor Hughes, Președintele Asociației Internaționale […]

MODELE SI FORMULARE GDPR – O nouă carte în webshop-ul dpo-NET.ro

O nouă lucrare de mare interes a fost adaugată în webshop-ul dpo-NET.ro, fiind o contributie a membrilor Centrului de cercetare pentru protectia datelor, constituit in cadrul Universitatii de […]

Nicolae Ploeșteanu: „Consider că fiecare practician trebuie să aibă această carte”

In domeniul protecției datelor în România, anul 2020 a debutat cu lansarea pe piață a acestui volum, intituat „GDPR Aplicat. Instrumente de lucru pentru implementarea Regulamentului UE 679/2016”, […]

Facebook forțat să amâne lansarea noului serviciu de dating în Europa

Cu numai 36 de ore înainte de Ziua Îndrăgostiților, Facebook a fost forțat să amâne lansarea in Europa a noului său serviciu, Facebook Dating, în urma intervenției Autoritatii […]

Dispozițiile legale care au permis accesul partidelor la listele suplimentare sunt neconstituționale

Conform unui comunicat de presă transmis de ASCPD – Asociația Specialiștilor în Confidențialitate și Protecția Datelor, suntem informati ca avocatul Poporului a sesizat Curtea Constituțională cu privire la dispozițiile […]

Anul 2019 văzut prin ochii unui GDPR-ist, 10 momente memorabile

Este sfarsit de an si fiind un moment de bilant nu pot sa nu ma gandesc la cat de multe lucruri am realizat pe plan profesional si mai […]

EDPB a realizat cea mai mare arhivă digitală dedicată specialiștilor în PDP

Deși a trecut abia un an și jumătate de la intrarea în vigoare a Regulamentului (UE) 2016/679, mulți dintre cei implicați implicați în procesul de aliniere la acest […]

Un funcționar public condamnat la 6 luni cu suspendare pentru încalcarea GDPR

Conform unui comunicat transmis de Autoritata de Supraveghere din Marea Britanie (ICO),  un fost angajat în cadrul Departamentului de asistență și servicii sociale din Dorset a fost urmărit […]

A început Războiul de independență al operatorilor de date din România

Nu știu alții cum sunt dar eu când mă gândesc la operatorii de date cu caracter personal care își proclamă independența peste noapte mă apucă panica. Numai în […]

Legea care a permis partidelor să copieze listele suplimentare încalcă GDPR-ul!?

Legea nr. 190/2018 privind măsuri de punere în aplicare a Regulamentului (UE) 2016/679 (Regulamentului general privind protecţia datelor), în vigoare de la 31 iulie 2018, „riscă” să fie […]

ACTIVITATEA AUTORITĂȚII CERT-RO CONTINUĂ SĂ FIE FINANȚATĂ DE LA BUGETUL DE STAT ȘI ÎN ANUL 2020

Legea nr. 362/2018 privind asigurarea unui nivel comun ridicat de securitate a rețelelor și sistemelor informatice (sau „Legea NIS”), a suferit câteva modificări prin Legea nr. 231 din […]

Dacă ai votat pe listele suplimentare partidele au aflat totul despre tine. Iată ce poți face

Peste 1.700.000 de votanți au fost înscriși pe listele suplimentare din țară și din străinătate în timpul alegerilor pentru Președintele României din data de 10 Noiembrie 2019. Dacă […]