Sergiu Bozianu este în primul rând un profesionist în domeniul protecției datelor din Republica Moldova, ultima funcție publică fiind cea de director adjunct în Direcția Generală Supraveghere și Conformitate în cadrul Centrului Național pentru Protecția Datelor cu Caracter Personal al Republicii Moldova. În prezent este președintele Asociației pentru Protecția Vieții Private prin care şi-a luat angajamentul să contribuie la promovarea şi transpunerea la nivel naţional a standardelor europene, în domeniul protecţiei datelor cu caracter personal şi a vieţii private. Este directorul companiei ,,Law, Privacy & Data Protection Services” SRL și  doctorand, tema sa de cercetare fiind,,Caracteristica juridico penală și criminologică a inviolabilității vieții personale”. A acceptat provocarea de a inaugura această nouă secțiune pe portalul dpo-net.ro, intitulată "Interviu Exclusiv", acordând răspunsuri la cele mai arzatoare întrebări ale momentului, despre provocările implementarii GDPR în România și Republica Moldova. Ne propunem periodic să publicăm interviuri exclusive cu profesioniști în domeniul protecției și securității datelor, atât din România, cât și din Europa. Vă invităm să ne urmăriți și așteptăm propuneri pe adresa de email a redacției cu persoane pe care vă doriți să le includem în acest proiect editorial.

Scopul GDPR-ului nu este de a da amenzi ci de a proteja persoanele. Cu toate acestea, după 3 ani de la intrarea în vigoare a Regulamentului doar 67% dintre Europeni au auzit de GDPR, în timp ce doar 36% au declarat că știu ce este acest regulament (date prezentate de Comisia Europeana în sondajul Eurobarometru). Credeți ca aceste cifre sunt rezultatul dezinteresului persoanelor în ceea ce privește de protejarea datelor lor?

 În opinia mea, rezultatele sondajului denotă 2 aspecte:

• Constatăm o tendința de maturizare a acestui drept modern – Dreptul la protecția datelor cu caracter personal, care a început a fi promovat cu insistență doar odată cu aplicarea Regulamentului General privind Protecția Datelor (25 mai 2018) deși, elaborarea și aprobarea acestui Regulament este consecința dezvoltării Dreptului fundamental al persoanei la viața privată și de familie statuat la art. 8 din CEDO, încă în anul 1950 și dezvoltat odată cu adoptarea Convenției nr. 108 privind protecția persoanelor referitor la prelucrarea automatizată a datelor cu caracter personal.
• Punctajul (cartonașul roșu) acumulat de Statele vizate în cazul obligațiilor pozitive ce le revin, de a respecta și ocroti viața intimă, familială și privată.

Care credeți ca vor fi consecințele acestei lipse de conștientizări a importantei datelor în rândul persoanelor, pe termen lung?

Este un fapt demonstrat că persoanele vizate cedează tot mai mult dreptul său la protecția datelor cu caracter personal în schimbul confortului personal – aspect ce rezultă din automatizarea exponențială în ultima perioadă de timp a proceselor și serviciilor din sfera publică și privată. Consecințele nu se lasă mult așteptate pe motiv că datele cu caracter personal sunt utilizate pe larg în scopuri meschine cum ar fi: șantajul, înșelăciunea, supunerea, denigrarea și manipularea în masă a societății. Important este de a conștientiza că datele cu caracter personal, în marea majoritate a cazurilor, nu au termen de valabilitate, pot fi utilizate și reutilizate de nenumărate ori, iar eventualele prejudicii pe urma utilizării ilegale a acestora ar putea ieși la iveală după o perioadă îndelungată de timp, în unele situații producând efect chiar și în raport cu copii, nepoții sau strănepoții noștri.   

Este esențial ca persoanele să identifice prelucrările ilegale de date pentru a-și putea exercita drepturile. Cât este de important sa-ți cunoști drepturile atâta timp cât nu poți identifica o prelucrare ilegală? Pe ce ar trebui să se axeze campaniile de informare a persoanelor?

Cunoașterea de către persoanele vizate a drepturilor ce rezultă din legislația din domeniul protecției datelor cu caracter personal este una crucială din considerentul că această disciplină interferează orice domeniu cum ar fi: medical, social, economic, educațional etc. De reținut că unul dintre principalele scopuri pentru care a fost adoptat Regulamentul general privind protecția datelor este de a asigura persoanei fizice un control mai mare asupra modului de prelucrare și protecție a datelor cu caracter personal care-l vizează. Concluzia este că cu cât este mai informat cetățeanul cu atât este mai responsabil operatorul de date. În acest context, necunoașterea drepturilor prevăzute de legislația din domeniul protecției datelor cu caracter personal duce la imposibilitatea constatării situațiilor care ar putea duce la încălcarea regimului juridic al protecției datelor cu caracter personal.

Campaniile de informare trebuie să se bazeze pe explicația simplă a celor mai importante drepturi ale persoanei: dreptul de a fi informat și dreptul de acces la aceste date, care, odată realizate, deschid calea spre pârghiile de control și interdicție care pot fi realizate direct către operatorul de date sau prin intermediul Autorității de supraveghere sau instanței de judecată. Nu în ultimul rând de menționat că realizarea drepturilor subiecților de date contribuie esențial asupra conștientizării sarcinilor și responsabilităților operatorului în raport cu datele cu caracter personal prelucrate. În Republica Moldova, dar cred că și în alte țări vizate, operatorii de date cu caracter personal încep a reacționa la trebuințele legale prevăzute de domeniul protecției datelor cu caracter personal doar urmare a depunerii unei plângeri din partea persoanei vizate sau în urma inițierii unei investigații din partea Autorității de supraveghere.

Care credeți că ar fi cea mai scurta cale spre creșterea gradului de conștientizare și complianta GDPR: educarea persoanelor sau educarea operatorilor?

Cea mai simplă cale pentru atingerea unui nivel de conștientizare adecvat ar fi de explicarea beneficiilor în cazul respectării regimului juridic al protecției datelor cu caracter personal:

• pentru operatori – obținerea elementului de competitivitate, legalizarea activităților ce implică prelucrarea datelor, promovarea imaginii și stabilirea unei relații de încredere dintre prestator-consumator, evitarea riscurilor privind răspunderea: pecuniară sub formă de amendă 20 000 000 sau 4 %, repararea prejudiciilor morale și materiale ale persoanelor vizate, cheltuieli de judecată, pierderea reputației. În același context urmează a fi conștientizat că cu cât mai devreme începi să implementezi cerințele de protecție a datelor, cu atât mai repede îți asiguri continuitatea afacerii sau a serviciilor prestate.
• pentru persoanele vizate – protejarea informațiilor confidențiale despre sine, afacere, membri de familie, obținerea unui confort emoțional și fizic, evitarea riscurilor de pierdere a unor proprietăți, active, a reputației on-line și off-line.

În România, până în acest moment, nu s-a dat nici o amenda pentru nerespectarea GDPR deși autoritatea condus aproape 1.000 de investigații, adoptând o atitudine orientată spre prevenție și dispunerea de măsuri corective. Considerați că Amenzile au un rol important în aplicarea GDPR-ului? Din experienta Dumneavoatră practică, cei mai mult operatori se conformeză cu GDPR-ul din responsabilitate sau de frica amenzilor? Care este situatia in Republica Moldova ?

Având în vedere experiența anterioară la Autoritatea națională de protecție a datelor cu caracter personal din Republica Moldova, pot să vă comunic că cea mai eficientă măsură este dialogul specific, informat și lipsit de ambiguitate dintre regulator și operatorii de date cu caracter personal care trebuie să fie asigurat cu norme coercitive consistente pentru a reda forță juridică discuțiilor inițiate. Așadar, cel mai important este de a asigura spiritul legii și de a nu denatura esența acesteia, de a oferi soluții practice și de compromis și nu de mers în extreme, or, disciplina protecției datelor cu caracter personal nu poate fi atinsă peste noapte doar prin impunerea unor măsuri pecuniare. Forța coercitivă a Autorității trebuie aplicată doar ca ultimă măsură spre calea conformării sau, în toate cazurile: de rea intenție sau neglijență vădită. Din practică, pot să vă afirm că cel mai mari impedimente întru asigurarea principiilor de protecție a datelor cu caracter personal este lipsa capacității raportării realităților juridice cu cele practice, persistența vacuumului în dialogul constructiv și analfabetismul funcțional. 

Totuși trebuie să recunoaștem că un avânt cu totul special pentru respectarea dreptului la viața privată în legătură cu prelucrarea datelor cu caracter personal la nivel global l-a adus anume Regulamentul general privind protecția datelor care a impus niște amenzi considerabile. De remarcat că acest Regulament nu a schimbat esența principiilor fundamentate spre exemplu prin Directiva 95/46, însă a schimbat de principiu atitudinea legiuitorului european din perspectiva obligațiilor pozitive care revin statelor de a asigura dreptul la viața privată, reliefând importanța persoanei fizice și prețul datelor cu caracter personal în condițiile relațiilor juridice. 

Așadar, sarcina noastră comună la moment este de a dezvolta acel reflex condiționat în raport cu dreptul modern la protecția datelor cu caracter personal.

Credeți că instituțiile publice ar trebui sa fie un exemplu pentru restul operatorilor? Punem această întrebare pentru că în Romania instituțiile publice riscă o amenda maxima pentru nerespectarea GDPR-ului de 200.000 lei, cu mult inferior față de ceea ce risca operatorii privați. Care este situatia in Republica Moldova ?

Una dintre principala premisă urmărită de art. 8 din CEDO, Convenția 108, Directiva 95/46, Regulamentul 679/2016, Directiva 680/2016 și a altor acte, a fost limitarea eventualului abuz al forței publice în raport cu persoana fizică. De reținut că așa cum opinează CEDO cu putere de lucru judecat, simpla înregistrare a unor date cu caracter personal de către o autoritate sau instituție publică reprezintă o ingerință în viața privată a persoanei vizate.

Așadar, putem constata că autoritățile publice sunt cei mai mari operatori de date cu caracter personal având cele mai intruzive mijloace de colectare și prelucrare a datelor cu caracter personal. Mai mult, Legea Supremă din România și din Republica Moldova statuează obligația autorităților publice de a respecta și ocroti dreptul la viața intimă, familială și privată.

Așadar, intenția legiuitorului de a diminua suma sancțiunilor aplicate în raport cu autoritățile publice este una previzibilă pe motiv că în joc sunt puși banii publici care, odată cu aplicarea sancțiunii vor migra dintr-un buget în altul. Nu este neapărat ca suma cuantumului pecuniar să fie aceeași ca și în cazul operatorilor de drept privat, însă, aceste diminuări ar trebui în mod corespunzător de compensat prin intermediul altor măsuri punitive care ar aduce un echivalent echitabil în raport cu autoritățile publice.

Din aceste considerente, fără a diminua importanța asigurării cerințelor legale de către sectorul privat, autoritățile publice sunt principalii actori vizați întru respectarea principiilor de protecția datelor cu caracter personal. În Republica Moldova autoritățile publice nu pot fi atrase la răspundere contravențională, însă această interdicție legiuitorul a compensat-o prin instituirea dreptului de a atrage la răspundere contravențională persoanele cu funcție de răspundere (conducătorii, factorii de decizie, executorii etc.). Așadar, dacă e să facem o analiză a numărului de cazuri de atragere la răspundere, cam jumătate din sancțiunile contravenționale care au fost aplicate de către Autoritatea de protecția datelor cu caracter personal din Republica Moldova, au fost aplicate în privința: primarilor, executorilor judecătorești, polițiștilor, procurorilor, funcționarilor publici etc.

Un studiu ASCPD atragea atentia la începutul acestui an asupra acestor statistici din unitatile medicale Romanesti: 37,44% din instituţiile sanitare cuprinse în analiză s-au confruntat cu incidente de securitate şi cu toate acestea 73,85% din total nu au implementat un plan de reacţie la incidentele de securitate. De asemenea, sondajul a scos în evidenţă că 70,26% încă folosesc adrese de email @yahoo.com şi @gmail.com în interes profesional în interiorul reţelei, expunând astfel organizaţia unor riscuri care pot fi evitate. Din sondaj a mai reieşit că 11,28% nu au implementat sisteme tehnice de protecţie antivirus, cel mai des invocând lipsa fondurilor. Cum comentati aceste rezultate ?

Rezultatele denotă o problemă stringentă care nicidecum nu poate fi justificată prin lipsa fondurilor. Urmează a fi reținut că în majoritatea cazurilor asigurarea unui nivel adecvat de protecție a datelor nu presupune cheltuieli exorbitante după cum pretind anumiți actori, exagerând sub aspectul dat în încercarea de a justifica propriile acțiuni sau inacțiuni care sunt neconforme. Așa cum relevă și GDPR, operatorul trebuie să fie în stare să demonstreze conformitatea prelucrării datelor cu caracter personal și măsurile de securitate asigurate prin implementarea unor politici care implică măsuri organizatorice și tehnice adecvate riscurilor pentru care sunt expuse datele. În acest context, atunci când operatorii de date în cunoaștere de cauză admit neconformități, aceste acțiuni ar putea fi încadrate de către Autoritatea de supraveghere în pârghiile de reeducare prevăzute de GDPR. Totuși, pentru a oferi o consecvență și previzibilitate în cazul enunțat, de resortul Autorității ține înaintarea unor preavize scrise sau electronice prin care să se solicite excluderea fără întârziere a inadvertențelor admise.

Cu toate că România înregistrează cel mai scăzut nivel de utilizare a serviciilor de internet dintre statele membre ale UE, 86 % dintre utilizatorii români de internet au conturi pe rețelele sociale, ceea ce ne face campionii Europei la acest capitol. Având în vedere scandalurile imense în care au fost implicate rețelele de socializare, fie prin breșele de securitate, fie prin utilizarea ilicită a datelor, putem considera că suntem și cei mai vulnerabili. Cum considerați ca ar trebui să se comporte un utilizator de internet, dacă ar sti de riscurile pe care internetul le ascunde?

În primul rând utilizatorii de internet trebuie să conștientizeze că cei mai înstăriți agenți economici din lume sunt proprietarii platformelor de socializare și a serviciilor de web service și de software. Așadar, impresia precum că serviciile platformelor de socializare sunt gratuite sunt false, din prima clipă de utilizare a platformelor de socializare noi plătim cu datele noastre cu caracter personal în schimbul acestor servici. Esența afacerii privind platformele de socializare este structurarea analitică a datelor, analiza preferințelor și viziunilor utilizatorului, furnizarea dirijată și adaptivă a informațiilor specifice către utilizatorul final, crearea dirijată de opinie și promovarea anumitor viziuni și preferințe. În acest context, regula de bază ar fi să limităm la maxim oferirea datelor cu caracter personal. Trebuie să înțelegem că serviciile societății informaționale în majoritatea situațiilor ne depășesc posibilitățile reale de a înțelege activitățile ce rulează în fundal inclusiv trasabilitatea datelor cu caracter personal care ne vizează și de a raporta aceste procese la cerințele legale. O încercare de a reglementa aceste procese este instituirea obligației operatori de date de a ne informa asupra modului de prelucrare și protecție a datelor cu caracter personal prin afișarea extraselor din politicile de securitate. După cum s-a adeverit a fi, majoritatea utilizatorilor nu citesc politicile de securitate și bifează aproape în regim automatizat (la nivel de reflex) rubrica prin care confirmă că a luat cunoștință de aceste politici. O bună parte din utilizatori sau nu dispun de cunoștință speciale în domeniul dat pentru a putea tălmăci acele acrobații juridice expuse de către operatorii de date care au sarcina de a demonstra grija și atenția oferită utilizatorilor și în special datelor cu caracter personal ale acestora sau au lipsă de timp și atenție față de aceste note informative.

În opinia mea, în cazul în care utilizatorii vor fi în cunoștință de cauză asupra scopului, destinatarilor și a modului de prelucrare a datelor cu caracter personal, ar fi cel puțin mai precauți sau chiar vor renunța la multe din serviciile și funcționalitățile la care s-au abonat.

Facebook a lansat Study, un program de cercetare de piață bazat pe recompense. Cum vi se pare un asemenea concept: să fim plătiți pentru datele pe care le facem publice? Este acesta direcție una corecta?

Consider că această ofertă publică este următorul pas spre care se vor focaliza mulți prestatori de servicii. Această situație a existat și anterior însă a fost camuflată sub diferite servicii și activități. Chiar dacă în opinia mea acest concept este unul destul de periculos, având în vedere monopolul evident al unor prestatori de servicii, afișarea deschisă în vederea remunerării pentru oferirea datelor cu caracter personal este o nouă provocare pentru Etica digitală. Fenomenul cumpărării sau obținerea unor beneficii în schimbul datelor cu caracter personal nu cred că va putea fi anihilat, însă, efortul de bază ar fi necesar de conturat asupra creării unor mecanisme adecvate pentru a putea concilia interesul economic al prestatorului de servicii și dreptul la viața privată în legătură cu prelucrarea datelor cu caracter personal. 

Accesul copiilor la internet este deja o normalitate. Ar trebui acest lucru sa ne îngrijoreze? Considerați că o educație privind privind accesul la internet al copiilor ar trebui sa fie o sarcina a părinților sau sistemul de învățământ ar trebui să-și asume acest rol?

În ultimii 20-30 de ani a crescut exponențial prezența tehnologiilor informaționale în viața de zi cu zi a fiecărui individ – acest fenomen fiind recunoscut ca era digitală. Veriga slabă în acest circuit este copilul, care, fiind în curs de dezvoltare a conștiinței, în multe cazuri este expus nejustificat riscurilor și provocărilor legate de utilizare a internetului. Spre regret, atât părinții cât și cadrul didactic nu sunt pregătiți în deplină măsură pentru a oferi o instruire și o protecție adecvată a copilului în spațiul on-line. De regulă copilul este de unul singur atunci când accesează internetul precum și nu are nici un fel de restricții în navigare, fapt ce poate duce la antrenarea acestuia în anumite fapte ilegale, sau comiterea abuzurilor de ordin psihic, sexual etc. are acces nelimitat la resursele de pe internet accesând site-uri care pot admite abuzuri în privința acestor minori. În cele din urmă, responsabilitatea de a răspunde acestor provocări este a părinților și a sistemului de învățământ. Cu titlu de exemplu, în Republica Moldova din anul 2018, a fost revizuită curicula școlară și cea universitară, copii din anul întâi având obiectul ,,educația digitală” inclusiv fiind ajustată legislația din domeniul comunicațiilor electronice, fiind stabilită obligația prestatorilor de servicii de a elabora ghiduri și de a oferi servici menite pentru a proteja copii de unele informații pe internet.

Conform unui raport DLA Piper (GDPR data breach survey: February 2019), de la data aplicării GDPR-ului și pana în februarie 2019, Autoritatea de supraveghere din Olanda înregistrase 15,400 de notificări de breșe, în timp ce România număra la acea vreme doar 270. Care credeți că este motivul acestei discrepanțe? 

Problemă de bază este capacitatea de a constata aceste breșe de securitate, deoarece în o bună parte de cazuri, operatorii de date cu caracter personal desemnează formal ofițerul de protecție a datelor sau își asumă anumite măsuri declarative privind protecția datelor cu caracter personal, însă în practică nefiind asigurate cerințe minime organizatorice și tehnice care ar putea duce la constatarea acestor breșe de securitate. Suplimentar există și o altă explicație care se rezumă la teama sau lipsa de încredere a operatorilor în Autoritatea de supraveghere, care odată informată asupra unui incident de securitate, ar putea aplica măsuri punitive în privința celor care au sesizat. Acest fenomen ar putea fi depășit doar prin deschiderea Autorității de protecție a datelor, inclusiv prin elaborarea unor acte departamentale care vor dezvolta acest mecanism de sesizare și de examinare a cazurilor, pentru a oferi o claritate în acțiunile date. Cu alte cuvinte obligația de a sesiza eventualele breșe de securitate trebuie să vină în ajutorul operatorilor de date pentru identificarea soluțiilor corecte și pentru a exclude pe viitor aceste incidente. Mai mult, oferirea masivă a informațiilor cu privire la incidentele depistate și măsurilor de corecție aplicate, ar trebuie să fie sistematizate de către Autoritatea de supraveghere și expusă sub formă de recomandări și ghiduri pentru a preveni alți operatori de date de la aceste riscuri.

Identificarea riscurilor este unul din cei mai importanți pași spre complianta GDPR. Cum putem identifica riscurile?

Pentru a putea identifica aceste riscuri, urmează să punem accent pe calitatea și profesionalismul de care trebuie să dispună ofițerul de protecție a datelor cu caracter personal. Totodată pentru a crește nivelul de percepție a eventualelor riscuri care pod duce la admiterea breșelor de securitate, Autoritatea de supraveghere în baza raporturilor de informare privind incidentele de securitate dar și având în vedere investigațiile realizate, urmează să publice anumite ghiduri și recomandări care să fie examinate și aplicate de către ofițerul de protecție datelor în cadrul operatorului.

În final, cine credeți ca ar trebui să se implice mai mult în diseminarea importantei datelor personale? Instituțiile publice, Autoritățile naționale de supraveghere sau ONG-urile din domeniul protecției datelor?

Tonul privind diseminarea informațiilor privind importanța domeniului protecției datelor cu caracter personal urmează să date de către Regulator și să continue de către ONG-uri și organizațiile profesionale. Cooperarea dinte Regulator, ONG-uri, organizații profesionale, și operatori este esențială din perspectiva conjugării eforturilor.

Daniela Cireasa a absolvit Facultatea de Drept, Universitatea Nicolae Titulescu, este consilier juridic din anul 2001 și Senior Partner în cadrul NeoPrivacy Romania. In 2018 a absolvit cursurile postuniversitare de protectia datelor „Protectia juridica a datelor personale” si a obtinut în iunie 2019 titlul de „Cel mai bun DPO din Romania” împreuna cu Echipa Nord Est DPO Romania la Targu Mures. Ofera consultanță în domeniul implementării Regulamentului General privind Protecția Datelor (GDPR) și este Responsabil cu protectia datelor (DPO). Cei 17 ani de activitate practica din care 4 ani in functie de conducere, au ajutat la cunoasterea mediului privat de afaceri si respectiv a activitatii departamentelor din cadrul unei societati de productie si comert, precum si schimburi intracomunitare. Este Vicepreședinte al ASCPD - Asociatia Specialistilor in Confidentililitate si Protectia Datelor și coautor al volumului "GDPR Aplicat", publicat la începutul acestui an. 

Daniela Cireasa a acceptat să ofere un interviu în exclusivitate pentru cititorii dpo-NET.ro, reușind să realizeze o radiografie fidelă a tuturor provocărilor profesionale, și nu numai, din acest an, pentru Responsabilul cu Protecția Datelor din România. 

Prin acest interviu i-am adresat doar două întrebări: cum a arătat agenda DPO-ului Daniela Cireașă și care au fost cele mai mari provocări cu care s-a confruntat în anul 2020?

D.C.: Deși a început în condiții de normalitate, anul 2020 avea să fie unul dintre cei mai plini de provocări ani, atât pentru DPO, cât și, în general, pentru întreaga omenire.

Dacă în 2019 ne-am concentrat pe problematici precum incompatibilitățile, poziția DPO-ului în cadrul organizației și metodele de a-și câștiga și consolida rolul stabilit de Regulament, cine este cu adevărat responsabil pentru implementarea GDPR și cine întocmește celebrul “dosar GDPR”, ce înseamnă cu adevărat măsuri tehnice și organizatorice "suficiente", anul 2020 se anunța destul de liniștit, fără mari provocări pentru DPO, concentrarea sa îndreptându-se către formarea profesională continuă în domeniu. Așa a debutat și anul meu, cu participarea în luna ianuarie la CPDP 2020 la Bruxelles (https://www.cpdpconferences.org/news/cpdp2020-full-program-available ).

Perspectiva mea profesională, din care scriu aceste rânduri, este una diversă, ca DPO extern, consultant în protecția datelor personale, co-autor al cărții “GDPR Aplicat”, dar și vicepreședinte al Asociației Specialiștilor în Confidențialitate și Protecția Datelor (https://ascpd.ro/). Fiecare dintre aceste roluri a presupus în 2020 foarte multă muncă de voluntariat și orientare către aducere de plus valoare prin articole, ghiduri, proceduri, webinare gratuite și conferințe online prin intermediul cărora am încercat să dau o mână de ajutor operatorilor si profesioniștilor în domeniu, dar, mai ales responsabililor cu protecția datelor personale, care au fost copleșiți în aceasta perioadă de noianul de schimbări și situații cu care nu s-au mai confruntat vreodată. În ianuarie 2020 am lansat, împreună cu Daniela Simionovici, Cătălina Lungu și Marius Florian Dan, volumul “GDPR Aplicat. Instrument de lucru pentru implementarea Regulamentului 679/2016”, carte care se adresează responsabililor cu protecția datelor personale dar și operatorilor sau persoanelor împuternicite.

Cea mai mare provocare, pentru noi toți, a venit în luna martie, o dată cu starea de urgență, când mulți dintre noi, DPO externi, am fost puși în situația de a suspenda contractele de servicii.

Odată cu starea de urgență a apărut provocarea educației online, procedurile privind școala online făcându-se anevoios, în totală nesiguranță din punct de vedere cibernetic. Am publicat împreună cu ceilalți co-autori ai “GDPR Aplicat” un set de recomandări pentru școala online (https://dpo-net.ro/specialistii-in-protectia-datelor-personale-sar-in-ajutorul-cadrelor-didactice-implicate-in-invatamantul-on-line/?cat=106), punând accentul pe securitatea prelucrărilor de date online, în mod special ținându-se seama că majoritatea persoanelor vizate erau minori. Demersul nostru a fost ulterior susținut și de către ASCPD prin “Scrisoarea deschisă adresată ministerului educației și cercetării privind limitarea accesului la educație al elevilor din Romania” atunci când s-a solicitat consimțământul părinților și declarații pe propria răspundere ale elevilor, atât la evaluarea națională cât și la bacalaureat (https://ascpd.ro/2020/06/17/ascpd-transmite-o-scrisoare-deschisa-adresata-ministerului-educatiei-si-cercetarii-privind-limitarea-accesului-la-educatie-al-elevilor-din-romania/), dar și prin reacția la cuvântul “bazaconie” folosit de fostul prim ministru atunci când a răspuns afirmației că profesorii invocă GDPR-ulca să evite lecțiile online. În reacția menționată am prezentat 10 situații în care procesul de teleeducație din România încalcă Regulamentul UE 2016/679, generând riscuri considerabile la adresa drepturilor și libertăților fundamentale ale tuturor actorilor implicați în învățământul online. Apreciez, din experiența proprie cu școala online, că lucrurile s-au mai îmbunătățit odată cu începerea anului școlar în septembrie, dar nu radical și încă se mai produc incidente. Amintesc cu acest prilej că a fost publicată o metodologie privind învățământul online, însă aceasta transferă întreaga responsabilitate a securizării cursurilor către unitățile de învățământ și profesori, iar mai nou, prin celebra declarație solicitată părinților și copiilor privind înregistrarea orelor online, răspunderea se transferă parțial și către părinți. La nivelul unităților de învățământ este o adevărată provocare pentru responsabilul cu protecția datelor deoarece nu se pun la dispoziție resurse materiale suficiente pentru măsurile pe care acesta le-ar recomanda. Aș adăuga aici și faptul că mulți dintre DPO de școală sunt profesori, neavând pregătirea necesară și nici suportul pentru îndeplinirea acestui rol.

În aprilie, datorită intensificării activității ONG-urilor de strângere de fonduri pentru acordarea de ajutor pe timpul pandemiei celor care aveau nevoie, am elaborat, împreună cu colegii din ASCPD, un Ghid destinat ONG-urilor (https://ascpd.ro/2020/04/27/ascpd-a-publicat-un-ghid-destinat-ong-urilor-implicate-in-campanii-de-strangere-de-fonduri-in-perioada-pandemiei-covid-19/). Scopul Ghidului a fost și este acela de a oferi celor implicați în activitatea de strângere de fonduri, un instrument cu ajutorul căruia să se asigure că respectă dreptul fundamental al persoanelor vizate la protecția datelor cu caracter personal, cu precizarea că respectarea prevederilor Regulamentului 679/2016 nu se suspendă în nicio situație, nici pe timp de pandemie, contrar celor auzite de multe ori anul acesta.

Începând cu luna mai a demarat organizarea de webinare și conferințe online, primele la care am participat fiind “Provocările procesului de cartografiere” (https://dpo-net.ro/participa-la-webinarul-dpo-tools-12-mai-2020-provocarile-procesului-de-cartografiere/?cat=67), prezentarea mea fiind axată pe cartografierea datelor personale în domeniul resurselor umane, iar următorul eveniment a avut un subiect îndelung comentat anul acesta: “Termoscanarea și implicațiile asupra relațiilor de muncă” (https://dpo-net.ro/dpo-talks-21052020-webinar-termoscanarea-implicatiile-asupra-relatiilor-de-munca/?cat=67).  Tot în cursul lunii mai 2020 am elaborat și publicat gratuit o procedură privind termoscanarea (https://dpo-net.ro/document-gratuit-procedura-controlul-temperaturii-angajatilor/?cat=58), în contextul în care apărea legislație nouă aproape zilnic, cea mai mare provocare pentru operatori dar și pentru DPO fiind aceea că termoscanarea nu trebuie să se facă cu prelucrare de date personale, lucru aproape imposibil în practică, deoarece majoritatea locurilor în care se face/făcea termoscanarea sunt amplasate la intrarea în unitate, deci supravegheate video și, dacă erau depistați angajați cu temperatura peste 37,3 grade, aceștia erau direcționați către medicul de familie, înregistrându-se în evidențele angajatorului motivul absenței acestora. De asemenea, DSP-urile județene, cu ocazia verificării îndeplinirii acestei obligații, solicitau dovada măsurării temperaturii, dovadă care implica, de cele mai multe ori, prelucrarea de date personale. Așadar, rolul DPO-ului în cazul termoscanării a fost unul deosebit de dificil, cadrul legal în permanentă modificare, presiunea persoanelor vizate (să ne amintim de CIP-puri, sârmele din măști, 5G și alte fakenews din perioada aceea), managementul superior care încerca să-și protejeze business-ul, toate acestea făcând misiunea DPO-ului foarte grea. Am recomandat la momentul respectiv formarea unei comisii din care să facă parte atât managementul cât și responsabilul cu sănătatea și securitatea în muncă, medicul de medicina muncii, juristul și DPO-ul, comisie care să gestioneze situația în cele mai bune condiții posibil.

În luna iunie, pe fondul solicitării consimțământului în procesul de educație dar și în procesul termoscanarii, am scris, împreună cu Marius Dumitrescu, articolul “De unde provine falsa supremație a consimțământului ca temei legal”, manifestându-ne îngrijorarea că, după 2 ani de la punerea în aplicare a GDPR, încă se mai discută întâi de consimțământ și abia apoi se verifică existența unui alt posibil temei de prelucrare a datelor personale. Concluzia a fost că această confuzie provine din vechea ierarhie din Legea 677/2001, lege în care consimțământul era considerat principalul temei al prelucrării, operatorii scăpând din vedere că situația s-a schimbat o dată cu apariția Regulamentului și a ghidului privind consimțământul.

Luna iulie a adus două noi evenimente online în cadrul cărora am prezentat prelucrarea datelor personale în cazul sănătății și securității în muncă (https://www.youtube.com/watch?v=6FpbUTqkmkE), dar și a medicinei muncii (https://www.youtube.com/watch?v=6XdDWfsenjM&t=16727s), prezentări care s-au concretizat într-un articol apărut în numărul trei al Revistei pentru protecția și securitatea datelor cu caracter personal. De ce SSM și MM? Deoarece am întâlnit cazuri în care încă nu se înțelege calitatea de persoana împuternicită sau operator asociat a responsabilului extern cu SSM și a medicului de medicina muncii, încă nu se înțelege că volumul de date prelucrat de către aceștia este unul impresionant, iar incidentele de securitate sunt destul de frecvente. De asemenea, am ales acești doi actori deoarece sunt deosebit de importanți în perioada pandemiei pentru activitatea oricărui operator de date personale. Una dintre ultimele provocări în calitate de DPO a fost aceea a unui operator care a declarat că responsabilul extern de SSM este operator independent și că nu au niciun fel de relație conform GDPR.

Tot luna iulie a adus, de data aceasta pentru toți operatorii de date, una dintre cele mai mari provocări din istoria protecției datelor personale: invalidarea Privacy Shield cu Statele Unite.

16 iulie 2020. O dată de la care aproape toți operatorii de date personale din România ar fi trebuit să-și reconsidere soluțiile de tip website, găzduire e-mail, servicii de newsletter, cloud, conturi pe rețele de socializare, cookie-ului de analiză, remarketing, aplicații, găzduire de baze de date și altele. Invalidarea Scutului de confidențialitate a avut ecou în rândul specialiștilor în protecția datelor din întreaga lume, însă, cei afectați direct, respectiv operatorii de date personale și persoanele vizate, nu par a  fi la curent cu această decizie sau, în orice caz, nupar a conștientiza efectele ei.

Operatorii ar putea spune că ei nu fac niciun transfer de astfel de date către SUA, uitând să analizeze furnizorii de servicii de tip newsletter, spre exemplu, sau categoriile de cookie instalate pe website-ul companiei. Transferurile de acest tip sunt frecvente și mulți dintre operatori le-au făcut și încă le fac inconștient. Menționez aici lipsa acordurilor încheiate cu persoanele împuternicite chiar și anterior Deciziei de invalidare a scutului de confidențialitate sau utilizarea încă frecventă a adreselor de e-mail de tip yahoo sau gmail în scop profesional. Revenind la problematica ridicată de către Decizie, apreciez că efectele acesteia nu sunt cunoscute încă nici de către marea masă a operatorilor și nici de către persoanele vizate. Mai multe detalii despre această decizie puteți citi în articolul “Impactul invalidării Privacy Shield și posibile soluții pentru operatorii de date personale” (https://dpo-net.ro/impactul-invalidarii-privacy-shield-si-posibile-solutii-pentru-operatorii-de-date-personale/?cat=36).

Deși am recomandat operatorilor din Romania să apeleze la specialiști în domeniul protecției datelor personale, nici pentru aceștia misiunea de a convinge operatorii să renunțe la soluții din SUA în favoarea altora din UE, nu a fost deloc ușoară. Anul acesta am avut ocazia să moderez evenimentul “Schrems II- Avem soluții?” (https://dpo-net.ro/webinar-dpo-talks-schrems-ii-avem-solutii-02-11-2020/) în cadrul căruia am identificat soluții românești atât pentru newsletter, platforme online, plata online, cloud, găzduire și multe altele, așadar am încercat să facem misiunea DPO-ului mai ușoară, oferindu-i instrumente alternative celor din Statele Unite.

În luna septembrie am prezentat, în cadrul Conferinței “Protecția datelor personale. Impactul noilor tehnologii și dreptul” desfășurată în cadrul «International Summer School 2020» ediția a XIII-a , desfășurată la Târgu Mureș, lucrarea privind invalidarea Privacy Shield, lucrare ce a devenit ulterior subiectul unui articol publicat.

Luna octombrie a adus două declarații nefericite pentru protecția datelor personale și, pe cale de consecință, pentru poziția DPO-ului în organizații, dar și în mentalul celor din jur: termenul de “bazaconie” folosit de către fostul premier (https://ascpd.ro/2020/10/03/ascpd-isi-manifesta-ingrijorarea-fata-de-utilizarea-termenului-bazaconie-in-declaratiile-publice-ale-premierului/), și cel de “eșafodaj complicat”, folosit de către un europarlamentar român la adresa Regulamentului privind protecția datelor personale. Astfel de declarații nu fac deloc mai ușoară munca DPO-ului, ba dimpotrivă.

Lunile octombrie și noiembrie s-au concentrat, în ceea ce mă privește, pe telemuncă, provocările aduse de aceasta și recomandările pentru operatori, angajați și DPO, concretizând aceasta activitate atât prin participarea la evenimente online cu acest subiect (https://neoprivacy.ro/webinar-digitalizarea-beneficii-provocari-legate-de-telemunca-30-10-2020/), cât și prin scrierea de articole (https://dpo-net.ro/telemunca-si-protectia-datelor-personale-in-contextul-digitalizarii/?cat=106) și publicarea, împreună cu colegii din Neoprivacy, a unei Proceduri gratuite privind munca în afara sediului angajatorului (https://neoprivacy.ro/procedura-privind-munca-in-afara-sediului-angajatorului-gratuit/).

Reglementată de Legea 81/2018 și impusă în viața noastră mai repede decât ne-am fi așteptat de către pandemia Covid 19, telemunca, dar și munca la domiciliu au devenit o realitate tot mai prezentă. Este evident că viitorul se îndreaptă către digitalizare și activități preponderent online în toate domeniile vieții noastre, inclusiv în ceea ce privește munca de la distanță, în alte locații decât sediul angajatorului dar, o dată cu ea, apar noi provocări, atât pentru angajați, cât și pentru angajatori și, evident, pentru DPO.

Conform articolului 4 alin. 3 din Legea 81/2018, angajatorii pot verifica activitatea angajaților care lucrează prin telemuncă în condițiile și în modalitatea concretă stabilite prin Regulamentul intern, contractul individual sau colectiv de muncă, după caz. Așadar, condițiile și modalitățile efective de monitorizare trebuie stabilite în mod transparent anterior începerii activității de telemuncă.

Recomand ca înainte de a pune în aplicare orice formă de monitorizare a angajaților, angajatorul să efectueze o analiză a gradului de imixtiune în viața privată a angajatului, a riscurilor pentru drepturile și libertățile acestuia șisă-și adapteze politicile și procedurile la legislația internă și la cea a Uniunii Europene, la recomandările privind prelucrarea datelor personale la locul de muncă, la jurisprudența Curții de Justiție a Uniunii Europene în materie dar și la  amenzile aplicate până acum pentru monitorizarea excesivă a angajaților.

Este de menționat și în acest caz rolul Responsabilului cu protecția datelor personale în întocmirea dar și monitorizarea respectării acestei proceduri. Apreciez că riscul apariției unui incident de securitate este cu mult mai ridicat decât în condițiile muncii normale, de la birou, așa că se impun măsuri tehnice și organizatorice mai stricte. Această temă este tratată pe larg într-un articol din numărul patru al Revistei române pentru protecția și securitatea datelor cu caracter personal, scris împreună cu Daniela Simionovici.

În luna noiembrie ne-a pregătit o surpriză și o provocare și mai mare pentru noi, Responsabilii cu protecția datelor personale: proiectul de lege privind profesia de DPO (https://www.juridice.ro/wp-content/uploads/2020/12/20b653FG.pdf). Un proiect de lege complet eronat, căruia i s-au adus critici atât de către ASCPD (https://ascpd.ro/2020/11/12/ascpd-contesta-continutul-si-modul-de-legiferare-ales-pentru-organizarea-profesiei-de-responsabil-cu-protectia-datelor-in-romania/), de către avocați (https://www.juridice.ro/706312/nici-gdpr-nu-e-pentru-oricine-opinie-fata-de-un-proiect-de-lege-si-fata-de-punctul-de-vedere-al-unbr.html ),  dar și de către mediul de business, profesori universitari, și, în general, de majoritatea celor specializați în domeniul protecției datelor. Proiectul de lege amintit nu numai că încalcă legislația internă, dar și Regulamentul UE 679/2016, afectând dramatic rolul Responsabilului cu protecția datelor personale așa cum a fost el stabilit de către GDPR. De asemenea, prin proiectul de lege se stabilesc atribuții noi pentru Autoritatea de supraveghere, care nu a fost consultată anterior depunerii lui.

Deși speram că luna decembrie va fi, în sfârșit, una liniștită,  se pare că este doar liniștea dinaintea unei noi furtuni, deoarece zilele trecute a fost depus un nou proiect de lege care impactează activitatea Responsabililor cu protecția datelor personale, de data aceasta din domeniul educației: supravegherea audio-video în sălile de clasă (http://www.cdep.ro/proiecte/2020/600/70/8/pl888.pdf). Proiectul este la fel de plin de încălcări ale legislației în vigoare (internă, dar și europeană), neținând cont nici de jurisprudența în materie.

Apreciez că persoanele vizate încep să-și cunoască drepturile, anul acesta am avut mai multe solicitări de ajutor ca niciodată pentru formularea de cereri pe dreptul de acces, numai în ultima lună având 3 (toate pentru primirea de mesaje prin poștă sau sms în cursul campaniei electorale).

Anul acesta a adus cu sine numeroase sancțiuni ale încălcării Regulamentului aplicate atât în Europa cât și în România. Am tratat pe larg aceste sancțiuni împreună cu Marius Dumitrescu și Daniela Simionovici în numerele 2,3 și 4 ale Revistei române pentru protecția și securitatea datelor cu caracter personal. Ceea ce este de subliniat e paleta largă a încălcărilor sancționate de către Autoritatea de supraveghere din România, printre care amintesc lipsa implementării de măsuri tehnice și organizatorice, lipsa de cooperare, lipsa notificării incidentelor de securitate, lipsa de răspuns la cererile persoanelor vizate, lipsa de ducere la îndeplinire a măsurilor corective dar și încălcarea principiilor din GDPR. Este de menționat una dintre cele mai mari amenzi aplicate vreodată de către autoritatea română, cea dată Băncii Transilvania, publicată în cursul lunii decembrie 2020 și care scoate în evidență importanța covârșitoare a instruirii angajaților, dincolo de măsurile tehnice de securitate implementate (https://www.dataprotection.ro/?page=Comunicat_17_12_2020&lang=ro ). Până la urmă, așa cum s-a dovedit în nenumărate rânduri, angajații sunt cea mai mare vulnerabilitate și cred că anul 2021 ar trebui să fie despre conștientizare și instruiri repetate ale personalului.

Apreciez în mod deosebit faptul că Autoritatea de supraveghere a întocmit și publicat Ghidul cu recomandări pentru asociațiile de proprietari (https://www.dataprotection.ro/?page=Prelucrarea_datelor_personale_de_catre_asociatiile_de_proprietari&lang=ro ), acestea fiind printre cei mai sancționați operatori.

Anul 2020 a fost o provocare pentru întreg mediul economic, mulți operatori restrângându-și activitatea și renunțând, printre primele lucruri, la “moftul” numit GDPR, acest fapt afectând activitatea multor DPO externi.

În concluzie, cuvintele cheie pentru activitatea DPO-ului în anul 2020 sunt: provocare continuă, voluntariat, digitalizare, rol cheie în organizație, conștientizarea importanței datelor personale de către operatori și persoanele vizate.

De la anul 2021 cred că Responsabilii cu protecția datelor își doresc recomandările Comitetului European pentru Protecția Datelor Personale în urma invalidării Privacy Shield, ghidul pentru operatorii asociați și persoanele împuternicite dar, în primul rând, întoarcerea la normalitate, deși ea nu va mai fi niciodată la fel, ci vom fi confruntați cu o normalitate redefinită și marcată de cu totul alte repere decât cele cu care am fost obișnuiți.

Din punctul de vedere al activității Asociației Specialiștilor în Confidențialitate și Protecția Datelor, anul 2021 se anunță unul plin, debutând în luna ianuarie cu organizarea Conferinței Naționale de Confidențialitate și protecția datelor PRIVACY ROMANIA 2021 (https://privacyromania.ro/).

Daniela Simionovici a absolvit cursurile Universității Ștefan cel Mare din Suceava, specializarea Asistență socială și un master în consiliere și administrare resurse umane la aceeași universitate. A absolvit cursul postuniversitar de “Protecția datelor cu caracter personal” organizat de Facultatea de Drept și Științe Administrative ale aceleiași universități sucevene. Este membru ASCPD și a obținut titlul de „Cel mai bun DPO din România” împreună cu Echipa Nord Est DPO România la Târgu Mureș în iunie 2019. În calitate de Senior Partner la NeoPrivacy România, oferă consultanță în domeniul implementării Regulamentului general privind protecția datelor (GDPR) și oferă și servicii de Responsabil cu protecția datelor personale în regim externalizat (DPO). Participă constant la seminare, dezbateri și conferințe dedicate protecției datelor personale și împărtășește din experiența sa scriind articole și cărți dedicate domeniului protecției datelor din perspectiva practicianului. La sfârșitul lunii Septembrie 2020 a moderat Webinarul LIVE dpo.TALKS unde alături de Mihai Ghiță, Cofondator Sypher Solutions, a analizat provocările profesionale ale DPO-ului în contextul actual.  

Daniela a acceptat să ofere un interviu în exclusivitate pentru cititorii dpo-NET.ro, reușind să ne trezească interesul tuturor pentru un subiect atât de important pentru orice companie care își propune să adopte și să implementeze principiile GDPR: “Amenzile GDPR”. 

Dacă ar fi să facem o radiografie succintă a amenzilor GDPR la nivel european, cum ar arăta?

D.S.: Respectarea dreptului persoanelor vizate la protecția datelor este un drept fundamental, chiar dacă nu este absolut, iar acest lucru presupune că operatorii de date personale trebuie să-și îndeplinească obligațiile care le revin conform prevederilor GDPR.

Indiferent de domeniul specific de activitate al operatorilor sau al PI, indiferent dacă sunt sau nu obligați să numească un DPO sau să întocmească evidențele prevăzute de art. 30, toți operatorii de date personale sunt obligați să respecte principiile GDPR și vom face trimitere explicită la respectarea principiului responsabilității, adică la faptul că toți operatorii și PI trebuie să facă dovada că respectă și implementează corect prevederile GDPR, lucru care, dacă se întâmplă, reduce semnificativ riscul amenzilor GDPR.

Motivele pentru care s-au aplicat cele mai multe amenzi GDPR în acest an au fost stabilirea incorectă sau insuficientă a temeiului legal de prelucrare a datelor și corelarea acestuia cu scopurile prelucrării și insuficiența măsurilor tehnice și organizatorice de securitate a datelor implementate de operatori se află în topul european, dar și în cel românesc în ce privește numărul și cuantumul amenzilor GDPR aplicate de autoritățile de supraveghere și nerespectarea principiilor GDPR de prelucrare a datelor. 

Care este mesajul, legat de aceste amenzi GDPR, pe care un operator de date ar trebui să îl rețină?

D.S.: Se vorbește foarte mult despre amenzile GDPR, despre cuantumul acestora, despre caracterul disuasiv, sau nu al acestora, dar se pierde din vedere faptul că măsurile corective sunt mult mai importante și cu consecințe mai grave decât amenda, per se, în sensul în care, spre exemplu, unui operator căruia i se stabilește măsura corectivă a suspendării chiar și temporare a prelucrării datelor personale, până la corectarea deficiențelor constatate de autoritatea de supraveghere, înseamnă că, nemaiputând să prelucreze date personale, operatorul își suspendă, de fapt, activitatea până când autoritatea ridică măsura suspendării prelucrării datelor.

Am dori să atragem atenția asupra prevederilor art. 29, alin. (2) din Procedura ANSPDCP de efectuare a investigațiilor unde se precizează: „(2) Introducerea contestației [Împotriva procesului-verbal de constatare/sancționare și/sau a deciziei de aplicare a măsurilor corective – n.a.] suspendă NUMAI plata amenzii, până la pronunțarea unei hotărâri judecătorești definitive.”

Operatorii ar trebui să fie conștienți de faptul că, și dacă remediază imediat deficiențele constatate de autoritate și pentru care s-a aplicat măsura corectivă a suspendării prelucrării datelor personale, acest lucru nu înseamnă că autoritatea de supraveghere se mișcă la fel de repede. Prin urmare, riscă să se confrunte cu o perioadă destul de lungă în care nu își pot desfășura activitatea! Ca atare, o amendă, deși nu e de neglijat, mai ales dacă suma este foarte mare, nu înseamnă decât bani, totuși, pe când suspendarea activității pe perioade oricât de scurte ar putea însemna pierderi financiare mult mai mari.

Ați moderat Webinarul dpo.Talks de la sfarsitul lunii septembrie. Care este cea mai surprinzătoare concluzie la care ați ajuns? 

D.S.: Constat ca există o preocupare reală în rândul DPO din toate entitățile legate de numirea forțată a acestora pe postul de DPO, de multe ori în situații evidente de incompatibilitate. Numirea / desemnarea forțată și de formă, pe hârtie, a unui DPO este o realitate care poate avea și chiar are consecințe negative sub aspectul amenzilor GDPR. O soluție pentru evitarea amenzilor GDPR în acest caz, dar și pentru păstrarea unui mediu de lucru armonios într-o entitate ar fi ca operatorii să convingă și să motiveze, nu să oblige un angajat să devină DPO, să-i liniștească temerile și să-l facă să accepte cu ușurința aceste noi sarcini, mai ales dacă acest salariat vede că operatorul se implică, îi alocă resurse de toate tipurile, dacă operatorul conștientizează faptul că trebuie să cheltuie suplimentar pentru instruirea DPO-ului și pentru formarea continuă a acestuia etc. Relația între DPO și operator nu trebuie să se desfășoare de pe poziții de forță, ci pe un nivel de cooperare și colaborare responsabilă. Evitarea situațiilor de incompatibilitate se poate face aplicând un filtru relativ simplu: DPO-ul nu poate desfășura alte activități care l-ar pune în situația de a se audita/monitoriza singur, iar în Ghidul privind responsabilul pentru protecția datelor (DPO), raportat la art. 37-39 din RGDP se găsesc toate îndrumările de care un operator ar avea nevoie pentru a desemna un DPO în mod corect. Numirea unui DPO incompatibil este purtătoare de sancțiuni, iar soluția evitării amenzilor GDPR în acest caz este exact opusul acestei realități, adică numirea corectă a unui DPO evitându-se situațiile de conflict de interese și de incompatibilitate.

Are DPO-ul român resursele necesare pentru a-și desfășura activitatea ?

D.S.: Foarte mulți DPO sesizează și reclamă faptul că nu au resursele necesare pentru a-și desfășura activitatea. Asigurarea resurselor pentru această activitate este obligația operatorului, iar în Regulament sunt menționate explicit și resursele care trebuie alocate, inclusiv pentru instruirea DPO-ului, nu doar cele care vin imediat în mintea unui operator, cum ar fi birotică, papetărie și cam atât. În acest sens, art. 38, alin. 2 este cât se poate de explicit: “(2) Operatorul și persoana împuternicită de operator sprijină responsabilul cu protecția datelor în îndeplinirea sarcinilor menționate la articolul 39, asigurându-i resursele necesare pentru executarea acestor sarcini, precum și accesarea datelor cu caracter personal și a operațiunilor de prelucrare, și pentru menținerea cunoștințelor sale de specialitate.” DPO-ul, în funcție de mărimea organizației, ar putea avea nevoie și de o echipă pluridisciplinară, care să includă cel puțin un jurist și / sau un IT-ist, de un birou propriu, securizat corespunzător, de o colecție, dacă nu de o bibliotecă proprie de materiale bibliografice de specialitate etc. În cazul producerii unei breșe de securitate urmată de o amendă, argumente de tipul “Nu am știut!” sau “Nu avem fonduri suficiente să alocăm și pentru DPO pentru că suntem în criză economică!” sunt irelevante și, chiar dacă nu vor fi interpretate de autoritatea de supraveghere ca circumstanțe agravante, nici nu vor fi luate în considerare ca argumente pentru clemență dusă până la iertarea “păcătosului”. Dacă lipsa de resurse poate fi purtătoare de sancțiuni GDPR, soluția evitării acestora sau a reducerii riscului amenzilor GDPR este bugetarea corespunzătoare a activității DPO-ului. Operatorii ar trebui să includă în bugetul anual de cheltuieli și resursele necesare pentru implementarea GDPR, dar și pentru menținerea conformității, pentru că procesul de conformare GDPR a entității este continuu și este egal cu durata de viață a entității.

Este DPO-ul român investit cu autoritatea necesară pentru a-și putea desfășura activitatea în mod corespunzător ? 

D.S.: DPO-ul nu este învestit de operator cu autoritatea necesară pentru a-și putea desfășura activitatea în mod corespunzător și, mai rău, este chiar ignorat de conducere. Această autoritate absolut necesară DPO-ului nu înseamnă că acesta devine un fel de șef peste ceilalți colegi, pe care-i poate sancționa, ci că este ascultat atunci când trasează sarcini și responsabilități pe linie de GDPR și că beneficiază, pe de o parte, de sprijinul conducerii, pe de altă parte, obține cooperarea și colaborarea responsabilă și implicată a tuturor salariaților care prelucrează date personale. NU DPO-ul este cel care stabilește sancțiunile într-o entitate, ci conducerea acesteia, iar DPO-ul NU face parte din conducere! DPO-ul nu trebuie văzut ca un mic despot în entitate, ci ca pe un garant pentru persoanele vizate că prelucrarea datelor personale se face respectând principiile GDPR, iar operatorul trebuie să-l vadă ca pe o resursă reală pe care, dacă o folosește corespunzător, chiar îndepărtează de entitatea sa riscul contactului cu autoritatea de supraveghere și, implicit, reduce riscul amenzilor. Dacă autoritatea DPO-ului se limitează la transformarea acestuia într-un producător și arhivar de hârtii, de proceduri, politici și chestionare de audit, ușa spre amenzile GDPR este larg deschisă, iar operatorii n-ar trebui să fie nici surprinși, nici nemulțumiți că sunt sancționați. Prin urmare, soluția pentru reducerea riscului amenzilor GDPR în această situație presupune ca DPO-ul să primească autoritate din partea operatorului, iar acesta din urmă să se asigure că toți ceilalți salariați o respectă. Învestirea cu autoritate a DPO-ului nu se limitează la o simplă decizie internă și la semnarea unui proces verbal de luare la cunoștință din partea salariaților, ea trebuie să producă efecte reale.

În ce privește implicarea la timp a DPO-ului în activitățile de protecție a datelor personale vom atrage atenția operatorilor asupra faptului că lipsa încrederii în salariatul desemnat ca DPO nu este o justificare per se, ba, mai mult, în cazul producerii unei breșe de securitate poate fi un indicator clar al unor disfuncționalități grave și a unei stări de dezorganizare la nivelul entității și care nu pot fi estompate de existența unei documentații de conformitate GDPR, oricât de bine și de frumos ar fi întocmită. Cu alte cuvinte, operatorul nu are nicio scuză în fața autorității de supraveghere pentru că a numit un DPO în care nu are încredere și, pe aceasta bază, operatorul nu-și respectă obligația prevăzută de art. 38, alin. 1 din Regulament: “(1) Operatorul și persoana împuternicită de operator se asigură că responsabilul cu protecția datelor este implicat în mod corespunzător și în timp util în toate aspectele legate de protecția datelor cu caracter personal.”

Mai mult decât această implicare, operatorul trebuie să asigure independența DPO-ului, în sensul art. 38, alin. 3 din Regulament: “(3) Operatorul și persoana împuternicită de operator se asigură că responsabilul cu protecția datelor nu primește niciun fel de instrucțiuni în ceea ce privește îndeplinirea acestor sarcini. Acesta nu este demis sau sancționat de către operator sau de persoana împuternicită de operator pentru îndeplinirea sarcinilor sale. Responsabilul cu protecția datelor răspunde direct în fața celui mai înalt nivel al conducerii operatorului sau persoanei împuternicite de operator.” Independența DPO-ului este o altă piedică majoră în entitățile în care acesta este numit de formă și se poate trezi că fiecare șef ierarhic superior pe linia activităților de bază îi spune DPO-ului ce și cum să facă și pe linie de GDPR.

Toate aceste trei situații în care probabilitatea primirii unei amenzi este foarte mare, pot fi evitate, sau măcar redus riscul unei amenzi GDPR prin implicarea operatorului. De acesta depinde, aproape în exclusivitate, ca aceste sancțiuni să nu apară.

Există o preocupare reală legată de răspunderea DPO-ului? În ce măsură DPO-ul poate fi tras la răspundere și poate suporta consecințe negative în cazul implementării necorespunzătoare a GDPR-ului în entitate, mai ales în cazul amenzilor?

D.S.: Se cuvine să punctăm întâi faptul că această temere provine din traducerea nepotrivită a termenului DPO în limba română. În limba engleză, ca, de astfel și în celelalte limbi în care a fost tradus Regulamentul 679/2016, înseamnă Ofițer cu Protecția Datelor - Data Protection Officer și nu RESPONSABIL cu protecția datelor cu caracter personal, inducând, astfel, ideea că persoana care ocupă aceasta funcție este responsabilă de implementarea GDPR. Implementarea GDPR este obligația și implicit responsabilitatea operatorului (a angajatorului) și nu a salariatului numit pe postul de DPO.

În al doilea rând, DPO-ul răspunde legal dacă a produs prejudicii operatorului încălcând alte prevederi legale. Spre exemplu, DPO-ul nu poate fi concediat pentru îndeplinirea funcțiilor și sarcinilor sale specifice, adică nu poate fi concediat pentru că insistă pe lângă operator să-i asigure resurse, sau dă un aviz nefavorabil pentru o anumită activitate de prelucrare de date pe care o consideră riscantă dacă nu se iau măsuri de remediere a deficiențelor, dacă, însă, fură din bunurile angajatorului, provoacă distrugeri, îi perturbă activitatea, consuma alcool în timpul programului, se implică / se lasă implicat în altercații / agresiuni / violențe etc., este pasibil de sancțiuni disciplinare, administrative, penale etc.

Externalizarea serviciului de implementare GDPR este o soluție viabilă și care sunt limitele de responsabilitate ale prestatorilor de servicii în cazul amenzilor GDPR?

D.S.: La această întrebare răspunsul este categoric DA, externalizarea serviciului de protecție a datelor este o soluție foarte bună în multe contexte, dar, operatorii trebuie să ia în calcul câteva aspecte foarte importante:

Operatorii răspund oricum și sunt pasibili de amendă dacă externalizează serviciul către prestatorul nepotrivit, care nu demonstrează că are competențe și experiență adecvată în domeniu și care nu demonstrează că poate securiza datele personale încredințate spre prelucrare în mod corespunzător. Dacă operatorul externalizează serviciul de implementare GDPR către o firmă specializată în vânzarea de legume, dar care pretinde că are codul CAEN potrivit pentru a putea oferi și consultanță GDPR, amenda este ca și scrisă pentru operator. Verificarea sistemului de expertiză și de reputație al prestatorului este obligația operatorului. 

Operatorii răspund oricum și sunt pasibili de amendă dacă nu-și exercită la timp și corect instrumentul controlului asupra prestatorului pentru a se asigura, continuu, că acesta respectă condițiile contractuale în ce privește confidențialitatea și securitatea datelor personale încredințate spre prelucrare. Prestatorul de servicii externalizate ar putea fi sancționat doar dacă operatorul ar putea demonstra fără urmă de dubiu că vina este exclusiv a prestatorului. În teorie, operatorul și prestatorul ar putea răspunde solidar în fața autorității de supraveghere, în practică, însă, se va considera că partea cea mai mare de vină o deține operatorul, deoarece nu și-a exercitat în mod corespunzător instrumentul controlului pe care doar el îl deține. Poate, nu întâmplător, în limba engleză operatorul este numit controller. Ne putem afla, iarăși, în fața unei traduceri neinspirate în limba română a acestui termen, deoarece creează confuzii și poate induce ideea că operatorul prelucrează personal date cu caracter personal, deși este posibil ca cel mai înalt nivel al conducerii să nu se afle în această situație. Cel mai înalt nivel al conducerii entității, însă, are obligația de a folosi acest instrument al controlului pe care doar el îl deține, și asupra angajaților, și asupra împuterniciților săi.

În ce privește externalizarea serviciului de DPO, deși tentant și foarte comod pentru operator, în aparență, în realitate poate avea efecte pervese. Un DPO conectat la entitate va ști mereu, cu o precizie foarte mare, ce se întâmplă în organizație, unde se află documentele, în grija cui se află și cum le securizează, va putea monitoriza în timp real respectarea măsurilor de securitate implementate de entitate etc. și, cel mai important aspect, în cazul investigațiilor efectuate de autoritatea de supraveghere la sediul operatorului, va fi mult mai expeditiv, mai sigur pe sine și mai organizat în îndeplinirea solicitărilor echipei de investigații decât un DPO extern. Modul în care se poate organiza un DPO intern față de un DPO extern poate face diferența între o amendă și un avertisment însoțite, sau nu, de măsuri corective, sau s-ar putea traduce cel puțin în reducerea valorii amenzii. Această diferență nu este dată de incompetența unui DPO extern, ci de organizarea operatorului. Un DPO extern are cu atât mai mult nevoie de cooperarea operatorului, cu cât nu poate fi prezent în entitate așa cum este un DPO intern. Ori, dacă operatorul este dispus să ofere acest sprijin, cea mai bună combinație în opinia noastră și care ar reduce considerabil riscul amenzilor GDPR ar fi DPO intern și consultant extern pentru audituri, monitorizare, DPO coaching și / sau instruire salariați.

Dacă ar fi să sintetizăm într-o singură frază răspunsul la întrebarea “Cum reducem riscul amenzilor GDPR?” care ar fi acesta?

D.S.: “Riscul amenzilor GDPR scade foarte mult prin responsabilizare, cooperare și implicare, adică, în primul rând prin elemente ce țin de natura umană și abia apoi de partea tehnică, adică de instrumente de lucru, aplicații, programe etc.”