Sergiu Bozianu este în primul rând un profesionist în domeniul protecției datelor din Republica Moldova, ultima funcție publică fiind cea de director adjunct în Direcția Generală Supraveghere și Conformitate în cadrul Centrului Național pentru Protecția Datelor cu Caracter Personal al Republicii Moldova. În prezent este președintele Asociației pentru Protecția Vieții Private prin care şi-a luat angajamentul să contribuie la promovarea şi transpunerea la nivel naţional a standardelor europene, în domeniul protecţiei datelor cu caracter personal şi a vieţii private. Este directorul companiei ,,Law, Privacy & Data Protection Services” SRL și  doctorand, tema sa de cercetare fiind,,Caracteristica juridico penală și criminologică a inviolabilității vieții personale”. A acceptat provocarea de a inaugura această nouă secțiune pe portalul dpo-net.ro, intitulată "Interviu Exclusiv", acordând răspunsuri la cele mai arzatoare întrebări ale momentului, despre provocările implementarii GDPR în România și Republica Moldova. Ne propunem periodic să publicăm interviuri exclusive cu profesioniști în domeniul protecției și securității datelor, atât din România, cât și din Europa. Vă invităm să ne urmăriți și așteptăm propuneri pe adresa de email a redacției cu persoane pe care vă doriți să le includem în acest proiect editorial.

Scopul GDPR-ului nu este de a da amenzi ci de a proteja persoanele. Cu toate acestea, după 3 ani de la intrarea în vigoare a Regulamentului doar 67% dintre Europeni au auzit de GDPR, în timp ce doar 36% au declarat că știu ce este acest regulament (date prezentate de Comisia Europeana în sondajul Eurobarometru). Credeți ca aceste cifre sunt rezultatul dezinteresului persoanelor în ceea ce privește de protejarea datelor lor?

 În opinia mea, rezultatele sondajului denotă 2 aspecte:

• Constatăm o tendința de maturizare a acestui drept modern – Dreptul la protecția datelor cu caracter personal, care a început a fi promovat cu insistență doar odată cu aplicarea Regulamentului General privind Protecția Datelor (25 mai 2018) deși, elaborarea și aprobarea acestui Regulament este consecința dezvoltării Dreptului fundamental al persoanei la viața privată și de familie statuat la art. 8 din CEDO, încă în anul 1950 și dezvoltat odată cu adoptarea Convenției nr. 108 privind protecția persoanelor referitor la prelucrarea automatizată a datelor cu caracter personal.
• Punctajul (cartonașul roșu) acumulat de Statele vizate în cazul obligațiilor pozitive ce le revin, de a respecta și ocroti viața intimă, familială și privată.

Care credeți ca vor fi consecințele acestei lipse de conștientizări a importantei datelor în rândul persoanelor, pe termen lung?

Este un fapt demonstrat că persoanele vizate cedează tot mai mult dreptul său la protecția datelor cu caracter personal în schimbul confortului personal – aspect ce rezultă din automatizarea exponențială în ultima perioadă de timp a proceselor și serviciilor din sfera publică și privată. Consecințele nu se lasă mult așteptate pe motiv că datele cu caracter personal sunt utilizate pe larg în scopuri meschine cum ar fi: șantajul, înșelăciunea, supunerea, denigrarea și manipularea în masă a societății. Important este de a conștientiza că datele cu caracter personal, în marea majoritate a cazurilor, nu au termen de valabilitate, pot fi utilizate și reutilizate de nenumărate ori, iar eventualele prejudicii pe urma utilizării ilegale a acestora ar putea ieși la iveală după o perioadă îndelungată de timp, în unele situații producând efect chiar și în raport cu copii, nepoții sau strănepoții noștri.   

Este esențial ca persoanele să identifice prelucrările ilegale de date pentru a-și putea exercita drepturile. Cât este de important sa-ți cunoști drepturile atâta timp cât nu poți identifica o prelucrare ilegală? Pe ce ar trebui să se axeze campaniile de informare a persoanelor?

Cunoașterea de către persoanele vizate a drepturilor ce rezultă din legislația din domeniul protecției datelor cu caracter personal este una crucială din considerentul că această disciplină interferează orice domeniu cum ar fi: medical, social, economic, educațional etc. De reținut că unul dintre principalele scopuri pentru care a fost adoptat Regulamentul general privind protecția datelor este de a asigura persoanei fizice un control mai mare asupra modului de prelucrare și protecție a datelor cu caracter personal care-l vizează. Concluzia este că cu cât este mai informat cetățeanul cu atât este mai responsabil operatorul de date. În acest context, necunoașterea drepturilor prevăzute de legislația din domeniul protecției datelor cu caracter personal duce la imposibilitatea constatării situațiilor care ar putea duce la încălcarea regimului juridic al protecției datelor cu caracter personal.

Campaniile de informare trebuie să se bazeze pe explicația simplă a celor mai importante drepturi ale persoanei: dreptul de a fi informat și dreptul de acces la aceste date, care, odată realizate, deschid calea spre pârghiile de control și interdicție care pot fi realizate direct către operatorul de date sau prin intermediul Autorității de supraveghere sau instanței de judecată. Nu în ultimul rând de menționat că realizarea drepturilor subiecților de date contribuie esențial asupra conștientizării sarcinilor și responsabilităților operatorului în raport cu datele cu caracter personal prelucrate. În Republica Moldova, dar cred că și în alte țări vizate, operatorii de date cu caracter personal încep a reacționa la trebuințele legale prevăzute de domeniul protecției datelor cu caracter personal doar urmare a depunerii unei plângeri din partea persoanei vizate sau în urma inițierii unei investigații din partea Autorității de supraveghere.

Care credeți că ar fi cea mai scurta cale spre creșterea gradului de conștientizare și complianta GDPR: educarea persoanelor sau educarea operatorilor?

Cea mai simplă cale pentru atingerea unui nivel de conștientizare adecvat ar fi de explicarea beneficiilor în cazul respectării regimului juridic al protecției datelor cu caracter personal:

• pentru operatori – obținerea elementului de competitivitate, legalizarea activităților ce implică prelucrarea datelor, promovarea imaginii și stabilirea unei relații de încredere dintre prestator-consumator, evitarea riscurilor privind răspunderea: pecuniară sub formă de amendă 20 000 000 sau 4 %, repararea prejudiciilor morale și materiale ale persoanelor vizate, cheltuieli de judecată, pierderea reputației. În același context urmează a fi conștientizat că cu cât mai devreme începi să implementezi cerințele de protecție a datelor, cu atât mai repede îți asiguri continuitatea afacerii sau a serviciilor prestate.
• pentru persoanele vizate – protejarea informațiilor confidențiale despre sine, afacere, membri de familie, obținerea unui confort emoțional și fizic, evitarea riscurilor de pierdere a unor proprietăți, active, a reputației on-line și off-line.

În România, până în acest moment, nu s-a dat nici o amenda pentru nerespectarea GDPR deși autoritatea condus aproape 1.000 de investigații, adoptând o atitudine orientată spre prevenție și dispunerea de măsuri corective. Considerați că Amenzile au un rol important în aplicarea GDPR-ului? Din experienta Dumneavoatră practică, cei mai mult operatori se conformeză cu GDPR-ul din responsabilitate sau de frica amenzilor? Care este situatia in Republica Moldova ?

Având în vedere experiența anterioară la Autoritatea națională de protecție a datelor cu caracter personal din Republica Moldova, pot să vă comunic că cea mai eficientă măsură este dialogul specific, informat și lipsit de ambiguitate dintre regulator și operatorii de date cu caracter personal care trebuie să fie asigurat cu norme coercitive consistente pentru a reda forță juridică discuțiilor inițiate. Așadar, cel mai important este de a asigura spiritul legii și de a nu denatura esența acesteia, de a oferi soluții practice și de compromis și nu de mers în extreme, or, disciplina protecției datelor cu caracter personal nu poate fi atinsă peste noapte doar prin impunerea unor măsuri pecuniare. Forța coercitivă a Autorității trebuie aplicată doar ca ultimă măsură spre calea conformării sau, în toate cazurile: de rea intenție sau neglijență vădită. Din practică, pot să vă afirm că cel mai mari impedimente întru asigurarea principiilor de protecție a datelor cu caracter personal este lipsa capacității raportării realităților juridice cu cele practice, persistența vacuumului în dialogul constructiv și analfabetismul funcțional. 

Totuși trebuie să recunoaștem că un avânt cu totul special pentru respectarea dreptului la viața privată în legătură cu prelucrarea datelor cu caracter personal la nivel global l-a adus anume Regulamentul general privind protecția datelor care a impus niște amenzi considerabile. De remarcat că acest Regulament nu a schimbat esența principiilor fundamentate spre exemplu prin Directiva 95/46, însă a schimbat de principiu atitudinea legiuitorului european din perspectiva obligațiilor pozitive care revin statelor de a asigura dreptul la viața privată, reliefând importanța persoanei fizice și prețul datelor cu caracter personal în condițiile relațiilor juridice. 

Așadar, sarcina noastră comună la moment este de a dezvolta acel reflex condiționat în raport cu dreptul modern la protecția datelor cu caracter personal.

Credeți că instituțiile publice ar trebui sa fie un exemplu pentru restul operatorilor? Punem această întrebare pentru că în Romania instituțiile publice riscă o amenda maxima pentru nerespectarea GDPR-ului de 200.000 lei, cu mult inferior față de ceea ce risca operatorii privați. Care este situatia in Republica Moldova ?

Una dintre principala premisă urmărită de art. 8 din CEDO, Convenția 108, Directiva 95/46, Regulamentul 679/2016, Directiva 680/2016 și a altor acte, a fost limitarea eventualului abuz al forței publice în raport cu persoana fizică. De reținut că așa cum opinează CEDO cu putere de lucru judecat, simpla înregistrare a unor date cu caracter personal de către o autoritate sau instituție publică reprezintă o ingerință în viața privată a persoanei vizate.

Așadar, putem constata că autoritățile publice sunt cei mai mari operatori de date cu caracter personal având cele mai intruzive mijloace de colectare și prelucrare a datelor cu caracter personal. Mai mult, Legea Supremă din România și din Republica Moldova statuează obligația autorităților publice de a respecta și ocroti dreptul la viața intimă, familială și privată.

Așadar, intenția legiuitorului de a diminua suma sancțiunilor aplicate în raport cu autoritățile publice este una previzibilă pe motiv că în joc sunt puși banii publici care, odată cu aplicarea sancțiunii vor migra dintr-un buget în altul. Nu este neapărat ca suma cuantumului pecuniar să fie aceeași ca și în cazul operatorilor de drept privat, însă, aceste diminuări ar trebui în mod corespunzător de compensat prin intermediul altor măsuri punitive care ar aduce un echivalent echitabil în raport cu autoritățile publice.

Din aceste considerente, fără a diminua importanța asigurării cerințelor legale de către sectorul privat, autoritățile publice sunt principalii actori vizați întru respectarea principiilor de protecția datelor cu caracter personal. În Republica Moldova autoritățile publice nu pot fi atrase la răspundere contravențională, însă această interdicție legiuitorul a compensat-o prin instituirea dreptului de a atrage la răspundere contravențională persoanele cu funcție de răspundere (conducătorii, factorii de decizie, executorii etc.). Așadar, dacă e să facem o analiză a numărului de cazuri de atragere la răspundere, cam jumătate din sancțiunile contravenționale care au fost aplicate de către Autoritatea de protecția datelor cu caracter personal din Republica Moldova, au fost aplicate în privința: primarilor, executorilor judecătorești, polițiștilor, procurorilor, funcționarilor publici etc.

Un studiu ASCPD atragea atentia la începutul acestui an asupra acestor statistici din unitatile medicale Romanesti: 37,44% din instituţiile sanitare cuprinse în analiză s-au confruntat cu incidente de securitate şi cu toate acestea 73,85% din total nu au implementat un plan de reacţie la incidentele de securitate. De asemenea, sondajul a scos în evidenţă că 70,26% încă folosesc adrese de email @yahoo.com şi @gmail.com în interes profesional în interiorul reţelei, expunând astfel organizaţia unor riscuri care pot fi evitate. Din sondaj a mai reieşit că 11,28% nu au implementat sisteme tehnice de protecţie antivirus, cel mai des invocând lipsa fondurilor. Cum comentati aceste rezultate ?

Rezultatele denotă o problemă stringentă care nicidecum nu poate fi justificată prin lipsa fondurilor. Urmează a fi reținut că în majoritatea cazurilor asigurarea unui nivel adecvat de protecție a datelor nu presupune cheltuieli exorbitante după cum pretind anumiți actori, exagerând sub aspectul dat în încercarea de a justifica propriile acțiuni sau inacțiuni care sunt neconforme. Așa cum relevă și GDPR, operatorul trebuie să fie în stare să demonstreze conformitatea prelucrării datelor cu caracter personal și măsurile de securitate asigurate prin implementarea unor politici care implică măsuri organizatorice și tehnice adecvate riscurilor pentru care sunt expuse datele. În acest context, atunci când operatorii de date în cunoaștere de cauză admit neconformități, aceste acțiuni ar putea fi încadrate de către Autoritatea de supraveghere în pârghiile de reeducare prevăzute de GDPR. Totuși, pentru a oferi o consecvență și previzibilitate în cazul enunțat, de resortul Autorității ține înaintarea unor preavize scrise sau electronice prin care să se solicite excluderea fără întârziere a inadvertențelor admise.

Cu toate că România înregistrează cel mai scăzut nivel de utilizare a serviciilor de internet dintre statele membre ale UE, 86 % dintre utilizatorii români de internet au conturi pe rețelele sociale, ceea ce ne face campionii Europei la acest capitol. Având în vedere scandalurile imense în care au fost implicate rețelele de socializare, fie prin breșele de securitate, fie prin utilizarea ilicită a datelor, putem considera că suntem și cei mai vulnerabili. Cum considerați ca ar trebui să se comporte un utilizator de internet, dacă ar sti de riscurile pe care internetul le ascunde?

În primul rând utilizatorii de internet trebuie să conștientizeze că cei mai înstăriți agenți economici din lume sunt proprietarii platformelor de socializare și a serviciilor de web service și de software. Așadar, impresia precum că serviciile platformelor de socializare sunt gratuite sunt false, din prima clipă de utilizare a platformelor de socializare noi plătim cu datele noastre cu caracter personal în schimbul acestor servici. Esența afacerii privind platformele de socializare este structurarea analitică a datelor, analiza preferințelor și viziunilor utilizatorului, furnizarea dirijată și adaptivă a informațiilor specifice către utilizatorul final, crearea dirijată de opinie și promovarea anumitor viziuni și preferințe. În acest context, regula de bază ar fi să limităm la maxim oferirea datelor cu caracter personal. Trebuie să înțelegem că serviciile societății informaționale în majoritatea situațiilor ne depășesc posibilitățile reale de a înțelege activitățile ce rulează în fundal inclusiv trasabilitatea datelor cu caracter personal care ne vizează și de a raporta aceste procese la cerințele legale. O încercare de a reglementa aceste procese este instituirea obligației operatori de date de a ne informa asupra modului de prelucrare și protecție a datelor cu caracter personal prin afișarea extraselor din politicile de securitate. După cum s-a adeverit a fi, majoritatea utilizatorilor nu citesc politicile de securitate și bifează aproape în regim automatizat (la nivel de reflex) rubrica prin care confirmă că a luat cunoștință de aceste politici. O bună parte din utilizatori sau nu dispun de cunoștință speciale în domeniul dat pentru a putea tălmăci acele acrobații juridice expuse de către operatorii de date care au sarcina de a demonstra grija și atenția oferită utilizatorilor și în special datelor cu caracter personal ale acestora sau au lipsă de timp și atenție față de aceste note informative.

În opinia mea, în cazul în care utilizatorii vor fi în cunoștință de cauză asupra scopului, destinatarilor și a modului de prelucrare a datelor cu caracter personal, ar fi cel puțin mai precauți sau chiar vor renunța la multe din serviciile și funcționalitățile la care s-au abonat.

Facebook a lansat Study, un program de cercetare de piață bazat pe recompense. Cum vi se pare un asemenea concept: să fim plătiți pentru datele pe care le facem publice? Este acesta direcție una corecta?

Consider că această ofertă publică este următorul pas spre care se vor focaliza mulți prestatori de servicii. Această situație a existat și anterior însă a fost camuflată sub diferite servicii și activități. Chiar dacă în opinia mea acest concept este unul destul de periculos, având în vedere monopolul evident al unor prestatori de servicii, afișarea deschisă în vederea remunerării pentru oferirea datelor cu caracter personal este o nouă provocare pentru Etica digitală. Fenomenul cumpărării sau obținerea unor beneficii în schimbul datelor cu caracter personal nu cred că va putea fi anihilat, însă, efortul de bază ar fi necesar de conturat asupra creării unor mecanisme adecvate pentru a putea concilia interesul economic al prestatorului de servicii și dreptul la viața privată în legătură cu prelucrarea datelor cu caracter personal. 

Accesul copiilor la internet este deja o normalitate. Ar trebui acest lucru sa ne îngrijoreze? Considerați că o educație privind privind accesul la internet al copiilor ar trebui sa fie o sarcina a părinților sau sistemul de învățământ ar trebui să-și asume acest rol?

În ultimii 20-30 de ani a crescut exponențial prezența tehnologiilor informaționale în viața de zi cu zi a fiecărui individ – acest fenomen fiind recunoscut ca era digitală. Veriga slabă în acest circuit este copilul, care, fiind în curs de dezvoltare a conștiinței, în multe cazuri este expus nejustificat riscurilor și provocărilor legate de utilizare a internetului. Spre regret, atât părinții cât și cadrul didactic nu sunt pregătiți în deplină măsură pentru a oferi o instruire și o protecție adecvată a copilului în spațiul on-line. De regulă copilul este de unul singur atunci când accesează internetul precum și nu are nici un fel de restricții în navigare, fapt ce poate duce la antrenarea acestuia în anumite fapte ilegale, sau comiterea abuzurilor de ordin psihic, sexual etc. are acces nelimitat la resursele de pe internet accesând site-uri care pot admite abuzuri în privința acestor minori. În cele din urmă, responsabilitatea de a răspunde acestor provocări este a părinților și a sistemului de învățământ. Cu titlu de exemplu, în Republica Moldova din anul 2018, a fost revizuită curicula școlară și cea universitară, copii din anul întâi având obiectul ,,educația digitală” inclusiv fiind ajustată legislația din domeniul comunicațiilor electronice, fiind stabilită obligația prestatorilor de servicii de a elabora ghiduri și de a oferi servici menite pentru a proteja copii de unele informații pe internet.

Conform unui raport DLA Piper (GDPR data breach survey: February 2019), de la data aplicării GDPR-ului și pana în februarie 2019, Autoritatea de supraveghere din Olanda înregistrase 15,400 de notificări de breșe, în timp ce România număra la acea vreme doar 270. Care credeți că este motivul acestei discrepanțe? 

Problemă de bază este capacitatea de a constata aceste breșe de securitate, deoarece în o bună parte de cazuri, operatorii de date cu caracter personal desemnează formal ofițerul de protecție a datelor sau își asumă anumite măsuri declarative privind protecția datelor cu caracter personal, însă în practică nefiind asigurate cerințe minime organizatorice și tehnice care ar putea duce la constatarea acestor breșe de securitate. Suplimentar există și o altă explicație care se rezumă la teama sau lipsa de încredere a operatorilor în Autoritatea de supraveghere, care odată informată asupra unui incident de securitate, ar putea aplica măsuri punitive în privința celor care au sesizat. Acest fenomen ar putea fi depășit doar prin deschiderea Autorității de protecție a datelor, inclusiv prin elaborarea unor acte departamentale care vor dezvolta acest mecanism de sesizare și de examinare a cazurilor, pentru a oferi o claritate în acțiunile date. Cu alte cuvinte obligația de a sesiza eventualele breșe de securitate trebuie să vină în ajutorul operatorilor de date pentru identificarea soluțiilor corecte și pentru a exclude pe viitor aceste incidente. Mai mult, oferirea masivă a informațiilor cu privire la incidentele depistate și măsurilor de corecție aplicate, ar trebuie să fie sistematizate de către Autoritatea de supraveghere și expusă sub formă de recomandări și ghiduri pentru a preveni alți operatori de date de la aceste riscuri.

Identificarea riscurilor este unul din cei mai importanți pași spre complianta GDPR. Cum putem identifica riscurile?

Pentru a putea identifica aceste riscuri, urmează să punem accent pe calitatea și profesionalismul de care trebuie să dispună ofițerul de protecție a datelor cu caracter personal. Totodată pentru a crește nivelul de percepție a eventualelor riscuri care pod duce la admiterea breșelor de securitate, Autoritatea de supraveghere în baza raporturilor de informare privind incidentele de securitate dar și având în vedere investigațiile realizate, urmează să publice anumite ghiduri și recomandări care să fie examinate și aplicate de către ofițerul de protecție datelor în cadrul operatorului.

În final, cine credeți ca ar trebui să se implice mai mult în diseminarea importantei datelor personale? Instituțiile publice, Autoritățile naționale de supraveghere sau ONG-urile din domeniul protecției datelor?

Tonul privind diseminarea informațiilor privind importanța domeniului protecției datelor cu caracter personal urmează să date de către Regulator și să continue de către ONG-uri și organizațiile profesionale. Cooperarea dinte Regulator, ONG-uri, organizații profesionale, și operatori este esențială din perspectiva conjugării eforturilor.

În calitate de fost Director de dezvoltare a afacerilor la Cambridge Analytica, Brittany Kaiser este un celebru denuntator, demascând modul în care au fost influențați și manipulați oamenii, transformand datele în adevarate arme în acest război psihologic. Fondatorul organizației Own Your Data și al campaniei #OwnYourData promovează și implementează educația digitală și participă activ la proiecte de educație în domeniul protecției datelor. Este personajul principală al documentarului original Netflix „The Great Hack” și autorul cărții Targeted.

Participand la #WebSummit 2019, a acceptat să ofere un interviu în exclusivitate pentru Dpo-NET.ro despre interventiile straine in campaniile electorale din ROMANIA si importanta DPO-ului si recomandari pentru fiecare dintre noi.

În acest weekend avem alegeri prezidențiale în România. Referitor la informațiile care au vizat țara noastră, prezentate în documentarul Netflix, ne puteți oferi mai multe detalii? Ca o glumă, știți cine a câștigat deja aceste alegeri?

Nu am informații despre consultanții politici internaționali care lucrează acum în România, dar cu siguranță Cambridge Analytica a lucrat în România. Nu-mi amintesc pentru ce partid, însă Cambridge Analytica nu a fost singura companie. Cambridge Analytica avea și o companie similară care reprezenta cealaltă parte. Deci, este foarte important ca oamenii să fie conștienți că influența străină în alegeri este o realitate, companiile de consultanță politică sunt reale și nu au dispărut doar pentru că Cambridge Analytica nu mai există.

Așadar, este important ca oamenii să-și amintească că, în timpul alegerilor, ar putea fi ținta unor dezinformari. Ar putea fi influențați prin mesaje care să îi determine să nu ia parte la procesul electoral. Încercați să nu share-uiți astfel de mesaje mai departe pe rețelele de socializare. Întotdeauna ieșiți la vot, nu deveniți indiferenți față de ce se întâmplă pe scena politică și rămâneți implicați, indiferent de ce vă sugereaza o reclamă pe Facebook.

Există o soluție pentru combaterea știrilor false și a dezinformării?

Există soluții, dar abia acum încep să create. Cred că are de-a face foarte mult cu tehnologia blockchain, este foarte importantă identificarea și urmărirea faptelor și verificarea provenienței știrilor, dacă respectă ghidurile etice sau dacă jurnaliștii de investigație sunt persoane reale.
Trebuie să putem verifica articolele fără o documentare serioasă și din surse îndoielnice, pe care orice persoană le poate publica.

Care este cel mai bun sfat pentru mine ca catățean și consumator?

Sfatul meu este ca toată lumea să aibă grijă la modul în care sunt protejate datele personale. Trebuie să citiți termenii și condițiile, înainte de a descărca o aplicație și să realizați că în acel moment datele voastre sunt deja colectate. Dacă decideți că nu sunteți de acord cu termenii, atunci trebuie să vă dați seama că nu puteți utiliza aplicația respectivă, alegând confidențialitatea în dentrimentul confortului. Și dacă începeți să faceți acest lucru zilnic, atunci treptat veți fi capabili să recunoaști o prelucrare corecta și transparentă, și veți putea decide dacă vă împărtășiți datele sau să vă păstrați confidențialitatea, realizând că totul are un cost.

Dacă ne referim la Responsabilii cu protecția datelor, aveți o recomandare pentru aceste persoane care au devenit protectorii confiențialității ?

Fiecare Responsabil cu protectia datelor trebuie să impună organizației pentru care lucrează utilzarea datelor clienților, într-un mod cât se poate de transparent. Spuneți-i clientului ce date colectați despre el, nu utilizați politici de confidențialiatete confuze, spuneți clientului ce date doriți de la el, cereți-i să își actualizeze propriile date. "Acestea sunt datele tale pe care noi le deținem. Datele acestea mai sunt actuale? Încă vă plac aceste lucruri? Aveți aceeași culoare preferată? Aveți aceleași prefeințe pentru micul dejun?". Dacă veți răsplăti clienții oferindu-le un stimulent pozitiv, probabil că veți obține un set date relevante, în timp real, pe care le puteți utiliza eficient. Astfel, oamenii vor avea ocazia să inteleagă de ce aveti nevoie de datele lor și să își dea acordul pentru prelucrarea acestora.

Când un DPO lucrează pentru o organizație, acesta luptă pentru protejarea intereselor companiei sau pentru interesele persoanelor?

Responsabilii cu protectia datelor acționează în interesul persoanelor și se asigură că organizațiile respectă regulile etice pentru a-și proteja clienții.

Regulamentul General privind Protecția Datelor (GDPR-General Data Protection Regulation) a apărut pentru a oferi un grad de control într-o lume dominată de tehnologie, iar conformarea la acest Regulament nu înseamnă altceva decât crearea cadrului în care datele cu caracter personal și special ale pacienților să fie protejate. Atacurile cibernetice asupra spitalelor din România demonstrează vulnerabilitatea sistemului sanitar în fața avansului tehnologiei, dar și lipsa de interes și implicare a conducerii spitalelor pentru a avea un plan de conformare adecvat, pentru că incidentele de securitate trebuie văzute ca o chestiune de regulă, apar ca urmare a nerespectării unui soi de disciplină într-un anumit domeniu. În sistemul sanitar românesc gradul de conformare GDPR se află sub pragul de 15%, atrage atenția Marius Dumitrescu, președintele Asociației Specialiștilor în Confidențialitate și Protecția Datelor (ASCPD). Într-un interviu acordat Revistei Health, președintele ASCPD a oferit mai multe detalii despre riscurile neconformării GDPR, care sunt vulnerabilitățile, dar și care ar fi măsurile necesar a fi implementate pentru protejarea datelor pacienților.

A trecut mai mult de un an de la aplicarea Regulamentului UE 679/2016 și în România vorbim deja  de breșe de securitate în sistemul sanitar. Din acest fapt se poate deduce că sistemul încă nu este pregătit întru totul pentru protejarea datelor cu caracter personal?

MD: Spitalele sunt o țintă a atacurilor ransomware în toată lumea, nu doar în România. Foarte multe astfel de incidente au fost raportate de spitale și înainte de 25 mai 2018, dar în ultimii ani am observat că specialiștii vorbesc despre o creștere exponențială a numărului de cazuri. Sunt trei întrebări la care autoritățile române și managerii spitalelor trebuie să găsească răspunsuri cât mai curând: ”de ce sunt vizate spitale din România?”, ”de ce sunt
așa de multe incidente în domeniul sanitar?” și, poate cea mai importantă întrebare, ”putem evita să devenim ținta unui atac cibernetic?”.

Ransomware-ul este un virus sau mai bine spus un software malițios care blochează accesul la fișierele stocate într-un sistem informatic, solicitând plata unei sume de bani în schimbul redobândirii accesului la acestea. De cele mai multe ori, fișierele criptate de malware nu pot fi decriptate nici după efectuarea plății către atacatori. Acest tip de malware nu urmărește o vulnerabilitate a sistemului informatic ci o eroare umană, de cele mai multe ori fiind transmis ca atașament al unui e-mail, sub forma unei facturi, a unei comenzi sau alt tip de document, păcălind astfel utilizatorii mai puțin conștienți sau vigilenți. Interesant este faptul că acest tip de malware nu ar fi putut depăși filtrele antivirușurilor existenți pe piață, ceea ce subliniază o primă problemă din spatele acestui atac în spitalele din România: spitalele atacate nu aveau sisteme antivirus actualizate, iar angajații acestora nu au fost instruiți cu privire la  identificarea unor asemenea atacuri.

La o analiza mai atentă a infrastructurii din domeniul sanitar românesc identificăm încă un număr mare de echipamente conectate care nu beneficiază de ultimele patchuri de securitate sau chiar folosesc sisteme de securitate care nici măcar nu mai sunt actualizate de producători. De exemplu Windows XP, care nu mai beneficiază de suport și actualizare din partea Microsoft este folosit în continuare pe scară largă în sistemul sanitar românesc, făcând posibilă funcționarea aparatelor de radiografii dentare, RMN-uri sau CT-uri. Prin infectarea unuia dintre aceste computere cu sistem de operare învechit se poate infecta apoi foarte simplu întreaga rețea.
Evident, ne întrebăm de ce nu sunt așa de ușor de înlocuit aceste sisteme de operare învechite și răspunsul ar trebui sa îl căutăm fie la producătorii de echipamente medicale care ar trebui să actualizeze gratuit softurile de interfață cu echipamentul astfel încât să funcționeze în aceiași parametrii și pe sistemele de operare mai noi, fie la managementul unităților medicale care au amânat investițiile în sisteme noi de operare din lipsă de fonduri sau pur și simplu pentru că echipamentele funcționează normal, chiar dacă sunt vulnerabile în fața atacurilor cibernetice.

Ce tip de malware a infectat sistemele din spitalele românești?

MD: În urma unei investigații derulate de specialiști în securitate cibernetică din cadrul CERT-RO, Cyberint și Bitdefender, s-a constatat că formele de malware responsabile de atacurile cibernetice recente asupra unor spitale din România au fost Maoloa și Phobos. Acești doi malware nu sunt o noutate absolută, Maoloa fiind prima dată descoperit în februarie 2019, iar Phobos era cunoscut încă din decembrie 2018.

ASCPD a tras un semnal de alarmă încă de la începutul anului 2019, în urma sondajului „GDPR in HEALTH România” realizat în decembrie 2018.  Astfel, ASCPD a semnalat atunci faptul că 37,44% dintre instituțiile sanitare cuprinse în analiză s-au confruntat cu incidente de securitate și cu toate acestea 73,85% din total nu au implementat un plan de reacție la incidentele de securitate. 70,26% încă foloseau adrese de email @yahoo.com sau @gmail.com în interes profesional în interiorul rețelei, expunând astfel organizația unor riscuri care pot fi evitate. Mai mult, 11,28% nu aveau implementate sisteme tehnice de protecție antivirus, cel mai des invocând lipsa fondurilor. Fiecare organizație, nu doar cele din domeniul sanitar, trebuie să implementeze un plan de răspuns la incidente de securitate prin care să identifice și să descrie rolurile și responsabilitățile echipei de răspuns în cazul unei breșe de securitate și apoi să realizeze simulări practice pentru a testa modul de reacție a angajaților în cazul unui atac cibernetic.

Securizarea datelor pacienților este importantă într-un sistem de sănătate. De ce în spitalele publice din România nu s-au luat obligatoriu măsuri pentru a proteja aceste date?

MD: Accesarea datelor pacienților este crucială pentru îndeplinirea actului medical. Astfel, în urma atacului cibernetic din iunie 2019, sute de pacienți români nu au putut beneficia de serviciile medicale în spitalele afectate, fiind invitați să revină ulterior sau încurajați să apeleze la serviciile altui spital. Recunoașterea valorii acestor date de către ministrul Sănătății este un cuțit cu două tăișuri.

Deși semnalul era orientat spre mobilizarea instituțiilor medicale în vederea prevenirii altor atacuri, atunci când afirmi că “10.000 de euro sunt nimic față de datele stocate acolo”, recunoscând că în trecut s-a optat pentru plata recompenselor solicitate de atacatori pentru decriptarea datelor, acest mesaj poate fi perceput de atacatori drept o încurajare de a continua atacurile și de a solicita recompense mult mai mari.

Recuperarea datelor, fie că este realizată de specialiști în IT sau prin achitarea recompensei solicitate de atacatori, este mult mai costisitoare decât adoptarea măsurilor de securitate necesare prevenirii unor asemenea atacuri. În totală contradicție cu mesajul ministrului Sănătății, instituțiile și companiile cu competențe în domeniul securității cibernetice, printre care CERT-RO, Cyberint și Bitdefender, sfătuiesc utilizatorii infectați “să nu plătească atacatorilor taxele de decriptare solicitate”.

Plata recompensei nu reprezintă o garanție că infractorii își vor onora promisiunea și le vor reda accesul la date și, în plus, ar putea fi țintite din nou de aceeași grupare, întrucât au deja un istoric de buni platnici. Echipa CERT-RO îndeamnă fiecare operator să raporteze astfel de incidente de securitate la numărul de telefon 1911 sau pe mail (alerts@cert.ro), cu includerea a două fișiere infectate (criptate) pentru analiză. Se recomandă să fie atașate acele fișiere într-o arhivă, protejate cu o parolă, care să fie specificată în textul mesajului.

După atacul cibernetic asupra spitalelor Ministerul Sănătății a emis o adresă prin care a informat unitățile spitalicești ce măsuri trebuie luate pentru a preveni atacurile cibernetice, recomandări emise inițial de CERT-RO. ASCPD a atras atenția că pe lângă cele recomandate de CERTRO ar mai fi nevoie de o serie de măsuri, necesar a fi implementate. Despre ce este vorba?

MD: Apreciem ca foarte importante aceste recomandări, însă atragem atenția că  prevenirea atacurilor cibernetice nu ar trebui să se limiteze la această listă, motiv pentru care am mai sublinia câteva măsuri importante: auditarea sistemelor IT în vederea identificării vulnerabilităților; implementarea unor politici clare privind prelucrarea datelor personale; criptarea datelor stocate pe dispozitivele mobile (laptop, tabletă, memorii USB) pentru
a împiedica accesarea datelor în caz de pierdere sau furt; criptarea datelor personale transmise prin e-mail; interzicerea accesării datelor de pe CD, DVD, stick-uri USB sau altele asemenea, dacă provin din surse nesigure; echipamentele de lucru care stochează date personale vor fi parolate, vor fi blocate atunci când nu vor fi utilizate (ctrl+alt+del → lock this computer); asigurarea unui sistem de management al accesului, astfel încât fiecare utilizator să se logheze la echipamentul de lucru cu user și parolă proprii.

Una dintre cele mai importante aspecte pe care nu am regăsit-o în adresa Ministerului este necesitatea instruirii personalului. Un personal instruit va fi mult mai vigilent, va identifica eventuale pericole și va cunoaște procedurile pe care trebuie sa le urmeze pentru a identifica, semnala sau limita efectele unui atac cibernetic.

Conștientizarea pericolelor în domeniul securității este o parte esențială a formării angajaților și este cel mai eficient mod de a menține companiile în siguranță, de la intruși și hackeri. Procesul de digitalizare atrage după el și metode tehnice avansate de securitate, care cresc gradul de protecție al vieții private, dar trebuie să conștientizăm în primul rând că cea mai mare vulnerabilitate în cadrul unei organizații este chiar resursa umană. Este nevoie de educație a personalului mai mult decât de investiții mari în soluții tehnice de securitate.

Dincolo de educația personalului cât este de important ca operatorul de date, în cazul spitalelor, managerii, să renunțe doar la a căuta soluții formale și să aleagă complianța la GDPR personalizând implementarea acestui Regulament pe unitatea pe care o conduce?

MD: În tot acest GDPR este vorba despre oameni, sau mai bine spus despre NOI! Nu este vorba despre creşterea birocraţiei şi despre proceduri sufocante. Este vorba despre respectul pe care trebuie să îl acordăm şi să îl obţinem unii de la ceilalţi, respect de care am uitat datorită banilor obţinuţi prin tranzacţionarea datelor personale şi a informaţiilor confidenţiale, efect direct al evoluţiei exponenţiale a tehnologiei.

Noi, ca operatori de date, trebuie să renunţăm la a mai căuta soluţii formale. Complianţa GDPR nu se obţine apăsând butonul „Print“, orice operator care alege această cale rămâne la fel de expus riscurilor. Spitalele din România sunt atacate pentru că sunt vulnerabile și este profitabil având în vedere valoarea informațiilor și caracterul sensibil și mai ales precedentele create prin plata rascumpărării accesului la date. Putem evita aceste incidente dacă în
primul rând renunțăm la mentalitatea că “mie nu mi se poate întâmpla” și investim în instruirea resurselor umane, implementând planuri și proceduri de lucru în caz de atac cibernetic și alocând fonduri pentru a impune măsuri adecvate de protecție tehnică și organizatorică.

După data de 25 mai 2018, au fost aplicate amenzi pentru neconformare în spitalele din Europa?

MD: Spitalul Haga din Olanda a fost amendat în acest an pentru neasigurarea unui grad adecvat de securitate a datelor pacienților săi., cu suma de 460.000 euro. Spitalul Barreiro din Portugalia a primit o amendă de 400.000 euro pentru incapacitatea de a asigura confidențialitatea și integritatea datelor din sistemul lor. În urma investigației s-a constatat că angajații spitalului au avut acces la datele pacientului prin profiluri false.

Participați frecvent la conferințe GDPR organizate la nivel European. Din informațiile prezentate care este gradul de implementare al GDPR în alte țări din Europa și cum stă România la acest capitol?

MD: Procentul de operatori care au adoptat și implementat principiile GDPR este greu de calculat cu exactitate, dar având în vedere că numai în domeniul public avem peste 42.000 de autorități, toate cu obligația de a fi implementat deja măsuri tehnice și organizatorice, și cunoscând sistemul sanitar din ultimii 18 ani, estimez că gradul de implementare nu a depășit procentul de 15%. Putem, în schimb, să analizăm poziția țării noastre din punct de vedere al notificării breșelor de securitate și a investigațiilor derulate de autoritățile de supraveghere europene. România este extrem de departe de media europeană în ceea ce privește plângerile privind prelucrările ilegale de date personale. De exemplu, în perioada cuprinsă între 25 mai 2018 și până în februarie 2019 la nivelul UE au fost raportate nu mai puțin de 59.000 de breșe de securitate. Campioni la acest capitol au fost olandezii, cu 15.400 breșe notificate, în timp ce România număra la acea vreme doar 270. Analizâd această situație am găsit două răspunsuri posibile: ori noi, românii, suntem un popor norocos și atacurile cibernetice ne evită, ori nu recunoaștem o breșă de securitate nici dacă ne împiedicăm de ea.

Mai mult, din Raportul European Data Protection Board, care cuprinde datele înregistrate de autoritățile de supraveghere în primele 9 luni de la aplicarea GDPR-ului, aflăm că autoritățile europene de supraveghere au deschis în total 94.622 de investigații, din care aproape 65.000 au survenit în urma notificărilor privind încălcarea datelor (a breșelor de securitate). În România s-au efectuat 460 de investigații din oficiu (69 din sesizări și 391 în urma
încălcărilor notificate autorității) și 456 de investigații dispuse în urma plângerilor persoanelor vizate, care erau aproximativ 5000.

Unul dintre motivele pentru care avem acești indicatori este bugetul Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal care este cu aproape 50% mai mic decât necesarul estimat de EDPB și în al doilea rând schema de personal a autorității care este mult subdimensionată, necesitând o suplimentare de 142%. Conform datelor oferite de reprezentantul autorității, chiar dacă în orgnigramă sunt prevăzute 85 de posturi, structura organizatorică actuală numără 34 de angajați, cu tot cu șoferi și personal TESA. Apreciez că a fost o muncă titanică să efectuezi acest număr de investigații cu un așa număr redus de persoane angajate în cadrul Autorității.