Sergiu Bozianu este în primul rând un profesionist în domeniul protecției datelor din Republica Moldova, ultima funcție publică fiind cea de director adjunct în Direcția Generală Supraveghere și Conformitate în cadrul Centrului Național pentru Protecția Datelor cu Caracter Personal al Republicii Moldova. În prezent este președintele Asociației pentru Protecția Vieții Private prin care şi-a luat angajamentul să contribuie la promovarea şi transpunerea la nivel naţional a standardelor europene, în domeniul protecţiei datelor cu caracter personal şi a vieţii private. Este directorul companiei ,,Law, Privacy & Data Protection Services” SRL și  doctorand, tema sa de cercetare fiind,,Caracteristica juridico penală și criminologică a inviolabilității vieții personale”. A acceptat provocarea de a inaugura această nouă secțiune pe portalul dpo-net.ro, intitulată "Interviu Exclusiv", acordând răspunsuri la cele mai arzatoare întrebări ale momentului, despre provocările implementarii GDPR în România și Republica Moldova. Ne propunem periodic să publicăm interviuri exclusive cu profesioniști în domeniul protecției și securității datelor, atât din România, cât și din Europa. Vă invităm să ne urmăriți și așteptăm propuneri pe adresa de email a redacției cu persoane pe care vă doriți să le includem în acest proiect editorial.

Scopul GDPR-ului nu este de a da amenzi ci de a proteja persoanele. Cu toate acestea, după 3 ani de la intrarea în vigoare a Regulamentului doar 67% dintre Europeni au auzit de GDPR, în timp ce doar 36% au declarat că știu ce este acest regulament (date prezentate de Comisia Europeana în sondajul Eurobarometru). Credeți ca aceste cifre sunt rezultatul dezinteresului persoanelor în ceea ce privește de protejarea datelor lor?

 În opinia mea, rezultatele sondajului denotă 2 aspecte:

• Constatăm o tendința de maturizare a acestui drept modern – Dreptul la protecția datelor cu caracter personal, care a început a fi promovat cu insistență doar odată cu aplicarea Regulamentului General privind Protecția Datelor (25 mai 2018) deși, elaborarea și aprobarea acestui Regulament este consecința dezvoltării Dreptului fundamental al persoanei la viața privată și de familie statuat la art. 8 din CEDO, încă în anul 1950 și dezvoltat odată cu adoptarea Convenției nr. 108 privind protecția persoanelor referitor la prelucrarea automatizată a datelor cu caracter personal.
• Punctajul (cartonașul roșu) acumulat de Statele vizate în cazul obligațiilor pozitive ce le revin, de a respecta și ocroti viața intimă, familială și privată.

Care credeți ca vor fi consecințele acestei lipse de conștientizări a importantei datelor în rândul persoanelor, pe termen lung?

Este un fapt demonstrat că persoanele vizate cedează tot mai mult dreptul său la protecția datelor cu caracter personal în schimbul confortului personal – aspect ce rezultă din automatizarea exponențială în ultima perioadă de timp a proceselor și serviciilor din sfera publică și privată. Consecințele nu se lasă mult așteptate pe motiv că datele cu caracter personal sunt utilizate pe larg în scopuri meschine cum ar fi: șantajul, înșelăciunea, supunerea, denigrarea și manipularea în masă a societății. Important este de a conștientiza că datele cu caracter personal, în marea majoritate a cazurilor, nu au termen de valabilitate, pot fi utilizate și reutilizate de nenumărate ori, iar eventualele prejudicii pe urma utilizării ilegale a acestora ar putea ieși la iveală după o perioadă îndelungată de timp, în unele situații producând efect chiar și în raport cu copii, nepoții sau strănepoții noștri.   

Este esențial ca persoanele să identifice prelucrările ilegale de date pentru a-și putea exercita drepturile. Cât este de important sa-ți cunoști drepturile atâta timp cât nu poți identifica o prelucrare ilegală? Pe ce ar trebui să se axeze campaniile de informare a persoanelor?

Cunoașterea de către persoanele vizate a drepturilor ce rezultă din legislația din domeniul protecției datelor cu caracter personal este una crucială din considerentul că această disciplină interferează orice domeniu cum ar fi: medical, social, economic, educațional etc. De reținut că unul dintre principalele scopuri pentru care a fost adoptat Regulamentul general privind protecția datelor este de a asigura persoanei fizice un control mai mare asupra modului de prelucrare și protecție a datelor cu caracter personal care-l vizează. Concluzia este că cu cât este mai informat cetățeanul cu atât este mai responsabil operatorul de date. În acest context, necunoașterea drepturilor prevăzute de legislația din domeniul protecției datelor cu caracter personal duce la imposibilitatea constatării situațiilor care ar putea duce la încălcarea regimului juridic al protecției datelor cu caracter personal.

Campaniile de informare trebuie să se bazeze pe explicația simplă a celor mai importante drepturi ale persoanei: dreptul de a fi informat și dreptul de acces la aceste date, care, odată realizate, deschid calea spre pârghiile de control și interdicție care pot fi realizate direct către operatorul de date sau prin intermediul Autorității de supraveghere sau instanței de judecată. Nu în ultimul rând de menționat că realizarea drepturilor subiecților de date contribuie esențial asupra conștientizării sarcinilor și responsabilităților operatorului în raport cu datele cu caracter personal prelucrate. În Republica Moldova, dar cred că și în alte țări vizate, operatorii de date cu caracter personal încep a reacționa la trebuințele legale prevăzute de domeniul protecției datelor cu caracter personal doar urmare a depunerii unei plângeri din partea persoanei vizate sau în urma inițierii unei investigații din partea Autorității de supraveghere.

Care credeți că ar fi cea mai scurta cale spre creșterea gradului de conștientizare și complianta GDPR: educarea persoanelor sau educarea operatorilor?

Cea mai simplă cale pentru atingerea unui nivel de conștientizare adecvat ar fi de explicarea beneficiilor în cazul respectării regimului juridic al protecției datelor cu caracter personal:

• pentru operatori – obținerea elementului de competitivitate, legalizarea activităților ce implică prelucrarea datelor, promovarea imaginii și stabilirea unei relații de încredere dintre prestator-consumator, evitarea riscurilor privind răspunderea: pecuniară sub formă de amendă 20 000 000 sau 4 %, repararea prejudiciilor morale și materiale ale persoanelor vizate, cheltuieli de judecată, pierderea reputației. În același context urmează a fi conștientizat că cu cât mai devreme începi să implementezi cerințele de protecție a datelor, cu atât mai repede îți asiguri continuitatea afacerii sau a serviciilor prestate.
• pentru persoanele vizate – protejarea informațiilor confidențiale despre sine, afacere, membri de familie, obținerea unui confort emoțional și fizic, evitarea riscurilor de pierdere a unor proprietăți, active, a reputației on-line și off-line.

În România, până în acest moment, nu s-a dat nici o amenda pentru nerespectarea GDPR deși autoritatea condus aproape 1.000 de investigații, adoptând o atitudine orientată spre prevenție și dispunerea de măsuri corective. Considerați că Amenzile au un rol important în aplicarea GDPR-ului? Din experienta Dumneavoatră practică, cei mai mult operatori se conformeză cu GDPR-ul din responsabilitate sau de frica amenzilor? Care este situatia in Republica Moldova ?

Având în vedere experiența anterioară la Autoritatea națională de protecție a datelor cu caracter personal din Republica Moldova, pot să vă comunic că cea mai eficientă măsură este dialogul specific, informat și lipsit de ambiguitate dintre regulator și operatorii de date cu caracter personal care trebuie să fie asigurat cu norme coercitive consistente pentru a reda forță juridică discuțiilor inițiate. Așadar, cel mai important este de a asigura spiritul legii și de a nu denatura esența acesteia, de a oferi soluții practice și de compromis și nu de mers în extreme, or, disciplina protecției datelor cu caracter personal nu poate fi atinsă peste noapte doar prin impunerea unor măsuri pecuniare. Forța coercitivă a Autorității trebuie aplicată doar ca ultimă măsură spre calea conformării sau, în toate cazurile: de rea intenție sau neglijență vădită. Din practică, pot să vă afirm că cel mai mari impedimente întru asigurarea principiilor de protecție a datelor cu caracter personal este lipsa capacității raportării realităților juridice cu cele practice, persistența vacuumului în dialogul constructiv și analfabetismul funcțional. 

Totuși trebuie să recunoaștem că un avânt cu totul special pentru respectarea dreptului la viața privată în legătură cu prelucrarea datelor cu caracter personal la nivel global l-a adus anume Regulamentul general privind protecția datelor care a impus niște amenzi considerabile. De remarcat că acest Regulament nu a schimbat esența principiilor fundamentate spre exemplu prin Directiva 95/46, însă a schimbat de principiu atitudinea legiuitorului european din perspectiva obligațiilor pozitive care revin statelor de a asigura dreptul la viața privată, reliefând importanța persoanei fizice și prețul datelor cu caracter personal în condițiile relațiilor juridice. 

Așadar, sarcina noastră comună la moment este de a dezvolta acel reflex condiționat în raport cu dreptul modern la protecția datelor cu caracter personal.

Credeți că instituțiile publice ar trebui sa fie un exemplu pentru restul operatorilor? Punem această întrebare pentru că în Romania instituțiile publice riscă o amenda maxima pentru nerespectarea GDPR-ului de 200.000 lei, cu mult inferior față de ceea ce risca operatorii privați. Care este situatia in Republica Moldova ?

Una dintre principala premisă urmărită de art. 8 din CEDO, Convenția 108, Directiva 95/46, Regulamentul 679/2016, Directiva 680/2016 și a altor acte, a fost limitarea eventualului abuz al forței publice în raport cu persoana fizică. De reținut că așa cum opinează CEDO cu putere de lucru judecat, simpla înregistrare a unor date cu caracter personal de către o autoritate sau instituție publică reprezintă o ingerință în viața privată a persoanei vizate.

Așadar, putem constata că autoritățile publice sunt cei mai mari operatori de date cu caracter personal având cele mai intruzive mijloace de colectare și prelucrare a datelor cu caracter personal. Mai mult, Legea Supremă din România și din Republica Moldova statuează obligația autorităților publice de a respecta și ocroti dreptul la viața intimă, familială și privată.

Așadar, intenția legiuitorului de a diminua suma sancțiunilor aplicate în raport cu autoritățile publice este una previzibilă pe motiv că în joc sunt puși banii publici care, odată cu aplicarea sancțiunii vor migra dintr-un buget în altul. Nu este neapărat ca suma cuantumului pecuniar să fie aceeași ca și în cazul operatorilor de drept privat, însă, aceste diminuări ar trebui în mod corespunzător de compensat prin intermediul altor măsuri punitive care ar aduce un echivalent echitabil în raport cu autoritățile publice.

Din aceste considerente, fără a diminua importanța asigurării cerințelor legale de către sectorul privat, autoritățile publice sunt principalii actori vizați întru respectarea principiilor de protecția datelor cu caracter personal. În Republica Moldova autoritățile publice nu pot fi atrase la răspundere contravențională, însă această interdicție legiuitorul a compensat-o prin instituirea dreptului de a atrage la răspundere contravențională persoanele cu funcție de răspundere (conducătorii, factorii de decizie, executorii etc.). Așadar, dacă e să facem o analiză a numărului de cazuri de atragere la răspundere, cam jumătate din sancțiunile contravenționale care au fost aplicate de către Autoritatea de protecția datelor cu caracter personal din Republica Moldova, au fost aplicate în privința: primarilor, executorilor judecătorești, polițiștilor, procurorilor, funcționarilor publici etc.

Un studiu ASCPD atragea atentia la începutul acestui an asupra acestor statistici din unitatile medicale Romanesti: 37,44% din instituţiile sanitare cuprinse în analiză s-au confruntat cu incidente de securitate şi cu toate acestea 73,85% din total nu au implementat un plan de reacţie la incidentele de securitate. De asemenea, sondajul a scos în evidenţă că 70,26% încă folosesc adrese de email @yahoo.com şi @gmail.com în interes profesional în interiorul reţelei, expunând astfel organizaţia unor riscuri care pot fi evitate. Din sondaj a mai reieşit că 11,28% nu au implementat sisteme tehnice de protecţie antivirus, cel mai des invocând lipsa fondurilor. Cum comentati aceste rezultate ?

Rezultatele denotă o problemă stringentă care nicidecum nu poate fi justificată prin lipsa fondurilor. Urmează a fi reținut că în majoritatea cazurilor asigurarea unui nivel adecvat de protecție a datelor nu presupune cheltuieli exorbitante după cum pretind anumiți actori, exagerând sub aspectul dat în încercarea de a justifica propriile acțiuni sau inacțiuni care sunt neconforme. Așa cum relevă și GDPR, operatorul trebuie să fie în stare să demonstreze conformitatea prelucrării datelor cu caracter personal și măsurile de securitate asigurate prin implementarea unor politici care implică măsuri organizatorice și tehnice adecvate riscurilor pentru care sunt expuse datele. În acest context, atunci când operatorii de date în cunoaștere de cauză admit neconformități, aceste acțiuni ar putea fi încadrate de către Autoritatea de supraveghere în pârghiile de reeducare prevăzute de GDPR. Totuși, pentru a oferi o consecvență și previzibilitate în cazul enunțat, de resortul Autorității ține înaintarea unor preavize scrise sau electronice prin care să se solicite excluderea fără întârziere a inadvertențelor admise.

Cu toate că România înregistrează cel mai scăzut nivel de utilizare a serviciilor de internet dintre statele membre ale UE, 86 % dintre utilizatorii români de internet au conturi pe rețelele sociale, ceea ce ne face campionii Europei la acest capitol. Având în vedere scandalurile imense în care au fost implicate rețelele de socializare, fie prin breșele de securitate, fie prin utilizarea ilicită a datelor, putem considera că suntem și cei mai vulnerabili. Cum considerați ca ar trebui să se comporte un utilizator de internet, dacă ar sti de riscurile pe care internetul le ascunde?

În primul rând utilizatorii de internet trebuie să conștientizeze că cei mai înstăriți agenți economici din lume sunt proprietarii platformelor de socializare și a serviciilor de web service și de software. Așadar, impresia precum că serviciile platformelor de socializare sunt gratuite sunt false, din prima clipă de utilizare a platformelor de socializare noi plătim cu datele noastre cu caracter personal în schimbul acestor servici. Esența afacerii privind platformele de socializare este structurarea analitică a datelor, analiza preferințelor și viziunilor utilizatorului, furnizarea dirijată și adaptivă a informațiilor specifice către utilizatorul final, crearea dirijată de opinie și promovarea anumitor viziuni și preferințe. În acest context, regula de bază ar fi să limităm la maxim oferirea datelor cu caracter personal. Trebuie să înțelegem că serviciile societății informaționale în majoritatea situațiilor ne depășesc posibilitățile reale de a înțelege activitățile ce rulează în fundal inclusiv trasabilitatea datelor cu caracter personal care ne vizează și de a raporta aceste procese la cerințele legale. O încercare de a reglementa aceste procese este instituirea obligației operatori de date de a ne informa asupra modului de prelucrare și protecție a datelor cu caracter personal prin afișarea extraselor din politicile de securitate. După cum s-a adeverit a fi, majoritatea utilizatorilor nu citesc politicile de securitate și bifează aproape în regim automatizat (la nivel de reflex) rubrica prin care confirmă că a luat cunoștință de aceste politici. O bună parte din utilizatori sau nu dispun de cunoștință speciale în domeniul dat pentru a putea tălmăci acele acrobații juridice expuse de către operatorii de date care au sarcina de a demonstra grija și atenția oferită utilizatorilor și în special datelor cu caracter personal ale acestora sau au lipsă de timp și atenție față de aceste note informative.

În opinia mea, în cazul în care utilizatorii vor fi în cunoștință de cauză asupra scopului, destinatarilor și a modului de prelucrare a datelor cu caracter personal, ar fi cel puțin mai precauți sau chiar vor renunța la multe din serviciile și funcționalitățile la care s-au abonat.

Facebook a lansat Study, un program de cercetare de piață bazat pe recompense. Cum vi se pare un asemenea concept: să fim plătiți pentru datele pe care le facem publice? Este acesta direcție una corecta?

Consider că această ofertă publică este următorul pas spre care se vor focaliza mulți prestatori de servicii. Această situație a existat și anterior însă a fost camuflată sub diferite servicii și activități. Chiar dacă în opinia mea acest concept este unul destul de periculos, având în vedere monopolul evident al unor prestatori de servicii, afișarea deschisă în vederea remunerării pentru oferirea datelor cu caracter personal este o nouă provocare pentru Etica digitală. Fenomenul cumpărării sau obținerea unor beneficii în schimbul datelor cu caracter personal nu cred că va putea fi anihilat, însă, efortul de bază ar fi necesar de conturat asupra creării unor mecanisme adecvate pentru a putea concilia interesul economic al prestatorului de servicii și dreptul la viața privată în legătură cu prelucrarea datelor cu caracter personal. 

Accesul copiilor la internet este deja o normalitate. Ar trebui acest lucru sa ne îngrijoreze? Considerați că o educație privind privind accesul la internet al copiilor ar trebui sa fie o sarcina a părinților sau sistemul de învățământ ar trebui să-și asume acest rol?

În ultimii 20-30 de ani a crescut exponențial prezența tehnologiilor informaționale în viața de zi cu zi a fiecărui individ – acest fenomen fiind recunoscut ca era digitală. Veriga slabă în acest circuit este copilul, care, fiind în curs de dezvoltare a conștiinței, în multe cazuri este expus nejustificat riscurilor și provocărilor legate de utilizare a internetului. Spre regret, atât părinții cât și cadrul didactic nu sunt pregătiți în deplină măsură pentru a oferi o instruire și o protecție adecvată a copilului în spațiul on-line. De regulă copilul este de unul singur atunci când accesează internetul precum și nu are nici un fel de restricții în navigare, fapt ce poate duce la antrenarea acestuia în anumite fapte ilegale, sau comiterea abuzurilor de ordin psihic, sexual etc. are acces nelimitat la resursele de pe internet accesând site-uri care pot admite abuzuri în privința acestor minori. În cele din urmă, responsabilitatea de a răspunde acestor provocări este a părinților și a sistemului de învățământ. Cu titlu de exemplu, în Republica Moldova din anul 2018, a fost revizuită curicula școlară și cea universitară, copii din anul întâi având obiectul ,,educația digitală” inclusiv fiind ajustată legislația din domeniul comunicațiilor electronice, fiind stabilită obligația prestatorilor de servicii de a elabora ghiduri și de a oferi servici menite pentru a proteja copii de unele informații pe internet.

Conform unui raport DLA Piper (GDPR data breach survey: February 2019), de la data aplicării GDPR-ului și pana în februarie 2019, Autoritatea de supraveghere din Olanda înregistrase 15,400 de notificări de breșe, în timp ce România număra la acea vreme doar 270. Care credeți că este motivul acestei discrepanțe? 

Problemă de bază este capacitatea de a constata aceste breșe de securitate, deoarece în o bună parte de cazuri, operatorii de date cu caracter personal desemnează formal ofițerul de protecție a datelor sau își asumă anumite măsuri declarative privind protecția datelor cu caracter personal, însă în practică nefiind asigurate cerințe minime organizatorice și tehnice care ar putea duce la constatarea acestor breșe de securitate. Suplimentar există și o altă explicație care se rezumă la teama sau lipsa de încredere a operatorilor în Autoritatea de supraveghere, care odată informată asupra unui incident de securitate, ar putea aplica măsuri punitive în privința celor care au sesizat. Acest fenomen ar putea fi depășit doar prin deschiderea Autorității de protecție a datelor, inclusiv prin elaborarea unor acte departamentale care vor dezvolta acest mecanism de sesizare și de examinare a cazurilor, pentru a oferi o claritate în acțiunile date. Cu alte cuvinte obligația de a sesiza eventualele breșe de securitate trebuie să vină în ajutorul operatorilor de date pentru identificarea soluțiilor corecte și pentru a exclude pe viitor aceste incidente. Mai mult, oferirea masivă a informațiilor cu privire la incidentele depistate și măsurilor de corecție aplicate, ar trebuie să fie sistematizate de către Autoritatea de supraveghere și expusă sub formă de recomandări și ghiduri pentru a preveni alți operatori de date de la aceste riscuri.

Identificarea riscurilor este unul din cei mai importanți pași spre complianta GDPR. Cum putem identifica riscurile?

Pentru a putea identifica aceste riscuri, urmează să punem accent pe calitatea și profesionalismul de care trebuie să dispună ofițerul de protecție a datelor cu caracter personal. Totodată pentru a crește nivelul de percepție a eventualelor riscuri care pod duce la admiterea breșelor de securitate, Autoritatea de supraveghere în baza raporturilor de informare privind incidentele de securitate dar și având în vedere investigațiile realizate, urmează să publice anumite ghiduri și recomandări care să fie examinate și aplicate de către ofițerul de protecție datelor în cadrul operatorului.

În final, cine credeți ca ar trebui să se implice mai mult în diseminarea importantei datelor personale? Instituțiile publice, Autoritățile naționale de supraveghere sau ONG-urile din domeniul protecției datelor?

Tonul privind diseminarea informațiilor privind importanța domeniului protecției datelor cu caracter personal urmează să date de către Regulator și să continue de către ONG-uri și organizațiile profesionale. Cooperarea dinte Regulator, ONG-uri, organizații profesionale, și operatori este esențială din perspectiva conjugării eforturilor.

Data de 25 mai 2020 a marcat 2 ani de la implementarea regulamentului GDPR in Uniunea Europeana. Au fost doi ani plini de schimbari, atat pentru utilizatori, cat si pentru companii, dar, mai ales, pentru specialistii in protectia datelor. Cu această ocazie, colegii noștri de la SYPHER au realizat acest articol colaj in patru parti, care prezinta 2 ani de GDPR din perspectiva mai multor profesionisti in domeniul protectiei datelor.

Cum ati caracteriza, pe scurt, cei doi ani care au trecut de la implementarea GDPR in Uniunea Europeana?

Pentru Bogdan Manolea, au fost “doi ani destul de complicati. Pe de o parte, cei care au crezut ca dupa 25 mai 2018 se va sfarsi lumea si va incepe o noua era in protectia datelor personale, pot fi dezamagiti de un sistem greoi, unde de la teorie la practica e cale lunga, iar partea de aplicare arata limitele autoritilor (umane, financiare, de cunostiinte tehnice), dar si al neplanificarii (aplicarea pare mai degraba haotica si selectiva, decat un proces riguros si logic). Pe cealalta parte, cei care au crezut ca dupa 25 mai 2018 nu se va intampla absolut nimic, pot sa se simta si ei dezamagiti.  Amenzi se dau, ba chiar si la cei mici si chiar la persoane fizice. Autoritatile par a fi mai decise sa aplice textele legislative decat inainte, iar subiectul protectiei datelor personale este mult mai vizibil.”

Din punctul sau de vedere, cel mai important castig al industriei a fost ca “Toata lumea din zona de business digital stie de GDPR”.

In opinia lui Serban Popa, consultant GDPR la Unity Solutions, “Principalele caracterisitici dupa intrarea in vigoare a noului regulament au fost lipsa de intelegere, mai ales de partea responsabililor din entitatile ce opereaza cu date cu caracter personal, varietatea si ambiguitatea diverselor solutii de conformare la noul regulament puse la dispozitie de o multime de specialisti, mare majoritate fara expertiza si experienta. Au urmat luni de evenimente ce au produs mici miscari de trupe in anumite domenii; au inceput mai ales in firmele serioase si mari sa se desfasoare procese de analiza complexe”.

Totodata, Serban Popa mentioneaza ca, dupa mai bine de un an, cand au inceput si avertismentele si amenzile din partea autoritatii, “lumea/operatorii au inceput sa inteleaga ca avem o noua entitate de reglementare similara cu cea din domeniul concurentei. Au aparut o serie importanta de clarificari la nivel de EDPB si, mai ales, din partea DPA-urilor vestice cu traditie”.

Pentru Raluca Puscas, avocat asociat la Filip & Company,“Cel mai vizibil efect este cresterea gradului de constientizare, atat la nivelul organizatiilor, dar si la nivelul cetatenilor, asupra aspectelor legate de protectia datelor. GDPR apare in discutie din ce in ce mai des atunci cand sunt abordate subiecte din diverse zone, incepand cu securitatea datelor pe internet, mesaje si campanii de marketing, comert online si, mai recent, in context de telemunca sau al masurilor luate in cadrul starii de urgenta / alerta”.

Ea puncteaza un un alt aspect extrem de important si anume, faptul ca, este vorba despre un proces continu. Raluca Puscas remarca, de asemenea, “ca a crescut preocuparea pentru asigurarea securitatii datelor, prevenirea pierderii datelor si incorporarea cerintelor de privacy in ariile de activitate sau a produsele noi pe care companiile doresc sa le dezvolte”.

Stefan Iancu, consultant GDPR in cadrul companiei iPrivacy, afirma ca legislatia referitoare la GDPR “a determinat acordarea unei atentii sporite protectiei datelor cu caracter personal atat in Europa, cat si in afara ei. Tot mai multe state sunt interesate in implementarea de legislatii similare. Desi majoritatea operatorilor nu au fost atat de pregatiti pe cat era de asteptat, aspect demonstrat si de amenzile aplicate in Europa (peste 270), majoritatea operatorilor continua in mod proactiv eforturile de conformare”.

Din punctul sau de vedere, “Numarul de amenzi aplicate este relativ mic prin comparatie cu numarul sesizarilor, iar cuantumul acestora tinde sa fie mai aproape de minimul prevazut de Regulament, daca le raportam la cifra de afaceri. De exemplu, chiar si cea mai mare amenda, ca valoare nominala, aplicata British Airways, 204,600,000 EUR, reprezinta 1,5%din cifra de afaceri a operatorului”.

Roxana Mitroi, avocat in cadrul bpv GRIGORESCU STEFANICA, observa “o tendinta tot mai mare de constientizare a protectiei ce trebuie oferita datelor cu caracter personal. Acest aspect se remarca la nivelul tuturor organizatiilor, avand in vedere ca prevederile regulamentului se aplica tuturor companiilor, fie ca vorbim de organizatii internationale, fie ca vorbim de organizatii autohtone. Este adevarat, ca in mod cert, unele industrii sunt mai expuse decat altele, in special prin prisma volumului mare de date personale ce sunt prelucrate sau chiar al complexitatii operatiunilor de prelucrare efectuate”.

Un alt aspect important semnalat de Roxana Mitroi  este ca, „principalii jucatori au inteles ca prevederile GDPR nu pot fi ocolite prin formule contractuale care sa aloce raspunderea catre terti, catre persoanele vizate sau chiar sa le inlature raspunderea. Astfel, pentru ca s-au lovit de o constientizare rapida a impactului puternic pe care il poate avea pierderea, stergerea, sustragerea sau chiar un incident de securitate asupra datelor cu caracter personal, pentru unii operatori de date, calatoria spre conformarea cu prevederile GDPR a inceput din timp, dinainte de implementarea prevederilor GDPR la nivelul legislatiilor nationale. De asemenea, dupa doi ani de la aplicabilitatea prevederilor GDPR la nivel national, in acest domeniu se observa un ritm de munca sustinut. Acest ritm de munca continuu vizeaza inclusiv momente ulterioare finalizarii implementarii, datorita fluxurilor si proceselor de prelucrari ce pot suferi diferite modificari in timp.  De asemenea, pot interveni si procese noi de prelucrari a datelor, fapt ce poate duce la noi provocari cu privire la analizarea gradului de conformare cu prevederile GDPR”.

In opinia lui Marius Dumitrescu, specialist GDPR, “GDPR-ul nu este o revolutie, este o evolutie!”. El remarca faptul ca, “In Romania, GDPR-ul a intrat brusc in vietile noastre, acum doi ani de zile, printr-un bombardament al consimtamintelor, lansat de operatori din dorinta de a intra rapid in legalitate. Din pacate, si astazi mai exista operatori care folosesc consimtamantul ca temei legal pentru prelucrarea datelor privind sanatatea persoanelor vizate si deduc, astfel, ca DPO-ul nu si-a castigat inca locul pe care il merita in organizatie si recomandarile lui inca nu sunt ascultate”.

El mai semnaleaza faptul ca “In ultimii doi ani, strategia de vanzari a multor firme de consultanta s-a bazat pe crearea panicii, folosind marketingul inselator care accentua, in primul rand, dimensiunea astronomica a amenzilor, in loc sa promoveze nevoia de instruire a personalului. Platim si astazi campaniile de marketing de acum doi ani care vindeau complianta formala fara a include serviciile de specialitate ale unui DPO”.

Marta Popa, Senior Partner la Voicu si Filipescu SCA, mentioneaza ca: “Regulamentul GDPR a fost <<problema anului 2000>> in domeniul protectiei datelor, nu doar in Europa, ci in intreaga lume. Organizatiile s-au straduit sa se conformeze, de teama consecintelor. Dar limbajul GDPR este foarte sofisticat, uneori vag, astfel incat, procesul de conformitate a fost marcat de incertitudini pentru multe organizatii, publice sau private. Ne asteptam sa apara si alte reglementari in domeniul protectiei datelor, inclusiv in zona de E-Privacy si vom vedea o crestere a impactului si a aplicarii legislatiei, inclusiv in ceea ce  priveste amenzile. Ne putem astepta ca si Brexit-ul sa impacteze unele companii din punct de vedere GDPR. Alte motive de ingrijorare se refera la recomandari in procesarea datelor legate de sanatate in contextul pandemiei de COVID-19 sau inteligenta artificiala (AI).

Marta Popa concluzioneaza: “Cei doi ani de GDPR au adus, cu siguranta, multe beneficii companiilor. In primul rand, GDPR a dus la o mai buna gestionare a datelor si a managementului datelor. In al doilea rand, protectia datelor a fost adusa in atentia managementului superior, ceea ce este o consecinta pozitiva. Si, in al treilea rand, companiile care au investit in conformitate beneficiaza de o crestere a gradului de incredere din partea clientilor si a partenerilor de afaceri”.

Astăzi, 25 mai 2020, se împlinesc doi ani de la aplicarea Regulamentului general privind protecția datelor personale (GDPR), moment prielnic pentru noi toți de a realiza o scurtă retrospectivă și de a trage câteva concluzii esențiale. Au fost multe provocări, atât pentru DPO cât și pentru operatorii de date care și-au propus să obțină și să mențină conformitatea GDPR. Cel mai important  lucru este să folosim pe viitor lecțiile deja învățate și tocmai despre aceste lecții vorbește Marius Dumitrescu, specialist în domeniul protecției datelor, în următorul interviu. 

Cum ai caracteriza, pe scurt, cei doi ani care au trecut de la implementarea GDPR în Uniunea Europeana?

"GDPR-ul nu este o revoluție, este o evoluție!", așa îmi încep majoritatea cursurilor încercând să explic că acest pachet de reglementări legislative există încă din 1995 și a evoluat într-un regulament european unic, influențat mai ales de dezvoltarea tehnologică fără precedent. Mai mult, putem spune că și în acest moment legislația aleargă după tehnologie, dacă ne gândim doar la inteligența artificială și la tehnologia 5G.

Regulamentul UE 679/2016 cunoscut drept GDPR a intrat în vigoare în 2016, acum patru ani de zile, dar se aplică doar din 25 mai 2018, după o perioadă de grație de doi ani, pe care majoritatea statelor europene, inclusiv România, nu au folosit-o pentru a lansa campanii de educare a persoanelor vizate și a operatorilor. Astfel, startul a fost dat în luna mai 2018, la momentul respectiv existând o estimare că doar 20% dintre operatorii europeni au început demersurile pentru a obține conformitatea. Aceste procent a crescut semnificativ valoric, fiind estimat astăzi ca fiind peste 60%, dar am rețineri privind calitatea conformităților obținute la nivel european. Conform studiilor, în 2019 s-a ajuns deja la crearea primelor 500.000 de roluri de DPO, fără a modifica fundamental organigramele și fără a asigura toate resursele necesare pentru a îndeplini cu succes acest rol. Operatorii de date trebuie să renunțe la a mai căuta soluții formale și să înțeleagă faptul că această mult dorită complianță GDPR nu se obține apăsând butonul "Print" și că orice operator care alege această cale rămâne la fel de expus riscurilor.

În România, GDPR-ul a intrat brusc în viețile noastre, acum doi ani de zile, printr-un bombardament al consimțămintelor, lansat de operatori din dorința de a intra rapid în legalitate. Din păcate și astăzi mai există operatori care folosesc consimțământul ca temei legal pentru prelucrarea datelor privind sănătatea persoanelor vizate și deduc, astfel, că DPO-ul nu și-a câștigat încă locul pe care îl merită în organizație și recomandările lui încă nu sunt ascultate.

În ultimii doi ani, strategia de vânzări a multor firme de consultanță s-a bazat pe “crearea panicii”, folosind marketingul înșelător care accentua, în primul rând, dimensiunea astronomică a amenzilor în loc să promoveze nevoia de instruire a personalului. Plătim și astăzi campaniile de marketing de acum doi ani care vindeau complianță formală fără a include serviciile de specialitate ale unui DPO.

Astazi, mai mult ca oricând, trebuie să ne reamintim că în tot acest GDPR este vorba despre oameni, sau mai bine spus despre NOI! Nu este vorba despre creșterea birocrației și despre proceduri sufocante. Este vorba despre respectul pe care trebuie să îl acordăm și să îl obținem unii de la ceilalți, respect de care am uitat datorită banilor obținuți prin tranzacționarea datelor personale și a informațiilor confidențiale, ca efect direct al evoluției exponențiale a tehnologiei. Să nu uităm că toți suntem persoane vizate. Dacă la birou nu simt acest lucru pentru că sunt patron și influențez și decid direct în ce direcție îmi conduc firma, atunci când navighez pe internet sau pur și simplu merg pe stradă, intru într-un supermarket sau într-un hotel, sunt doar o persoană fizică și mă aștept să pot să decid cine, de ce și ce date personale prelucrează despre mine. Cu toții trebuie să punem umărul și să vorbim cu prietenii, rudele, vecinii despre erorile pe care le facem atunci când vânăm gratuități pe internet. Trebuie să încetăm să mai credem că ceva este gratuit și să înțelegem că, de fapt, plătim scump cu datele noastre personale care au devenit o valoroasă monedă de schimb.

Și mai trebuie să învățăm o lecție : „Când ești cunoscut, oamenilor le place să vorbească despre tine. Totuși, nu tot ce se vorbește, este și adevărat!”. Încă trebuie să învățăm ce înseamnă Fakenews, să recunoaștem acest fenomen, să ne protejăm, să nu mai alimentăm cererea și să sancționăm atunci când această practică ne influențează deciziile.

Care consideri că a fost cea mai mare provocare pentru specialiștii în protecția datelor personale?

Persoana fizică în sine a rămas cea mai mare provocare pentru întreg domeniul protecției datelor din România, deoarece, prin lipsa de cultură, întreg corpul profesional se confruntă cu solicitări nejustificate și insuficient documentate privind ștergeri selective sau rectificări neîntemeiate a informațiilor înregistrate în documente. Cu siguranță aceste solicitări nu vor fi soluționate în favoarea persoanei vizate, existând mai multe reglementări specifice în ceea ce privește termenul de retenție și posibilitățile de acces restricționat și condiționat. Gardianul modului în care se respectă confidențialitatea și mecanismele de protecție a datelor cu caracter personal rămâne în continuare Responsabilul cu protecția datelor cu caracter personal (DPO), această meserie nou apărută, care se confruntă probabil cu cele mai mari provocări profesionale datorită caracterului general al Regulamentului (UE) 2016/679 și lipsei unor repere unitare privind interpretarea și implementarea lui.

Poate și denumirea postului, care induce ideea responsabilității concentrate pe umerii unei singure persoane, a îngreunat ascensiunea și recunoașterea profesională, mulți DPO făcând educație managementului în momentul semnării contractelor de consultanță.

Care a fost cea mai mare provocare a companiilor în procesul de obținere și menținere a conformității GDPR?

Angajații reprezintă unul dintre cele mai mari riscuri în ceea ce privește securitatea unei organizații. Și nu spun eu asta, mergând pe principiul 80/20 al lui Pareto, transpus în business (80% din probleme sunt cauzate de 20% dintre angajați), ci studiul State of Cybersecurity 2019 realizat de ISACA.

Din punctul meu de vedere, cea mai mare provocare a companiilor în procesul de obținere și menținere a conformității GDPR este carența unei culturi a responsabilității, în rândul angajaților, privind protecția datelor personale. Acesta carență poate fi diminuată substanțial în urma instituirii unor programe de instruire cu privire la importanța protecției datelor în concordanță cu practicile generale și politicile specifice activității companiei. Responsabilizarea angajaților din perspectiva protecției datelor personale va aduce un plus de valoare companiei. Un angajat conștient și informat este un angajat vigilent și care acționează cu responsabilitate, riscurile unei erori umane scăzând, în același timp în care randamentul muncii crește. Mai mult, identificarea rapidă a eventualelor breșe de securitate și respectarea protocolului de răspuns la incidente va minimiza pierderile companiei.

Rămân un visător și sper ca în următoarea perioadă să vedem campanii de educare a persoanelor vizate din România, și de ce nu, campanii de educație în scoli.

Care a fost cea mai importantă lecție pe care companiile, dar și specialiștii în protecția datelor personale au învățat-o în această perioadă?

Constat că în ultimele două luni, de când a fost recunoscută oficial pandemia Covid -19, s-a vorbit despre GDPR mai mult decât în toată perioada de când a intrat în vigoare Regulamentul UE 679/2016 și este trist că a fost nevoie de acest coronavirus ca să-i acordăm atenția pe care o merită.

Societatea în care trăim s-a schimbat, fiind supusă la unul din cele mai dificile teste de stres. Frica este cea care a obligat societatea noastră să se adapteze și să se maturizeze forțat, făcând, în primul rând, un salt mare către digitalizare. Vorbim astăzi mai mult ca niciodată despre tele-muncă, tele-medicină, tele-educație și mai ales despre știrile false.

Fiind un act de responsabilitate să stăm acasă în aceste condiții, utilizăm din ce în ce mai mult tehnologia, din dorința de a comunica cu cei dragi și cu colegii de serviciu. Am auzit că s-au organizat zile de naștere online, că oamenii au continuat să se întâlnească și să bea o cafea cu prietenii, printr-o conexiune video și că se pot vizita muzee sau chiar să participi la concerte din confortul fotoliului de acasă. Citim cărți pentru care până acum nu găseam timpul necesar. Pentru o parte din oameni, autoizolarea este un test greu de trecut și de suportat și nimeni nu conștientizează, încă, faptul că procesul de autoizolare socială este un fenomen apărut o dată cu rețele de socializare. Se vorbește de ani de zile de această tendință de a petrece mai mult timp în casă, conectat cu mii de prieteni online, cu care poate nu te-ai întâlnit niciodată față în față. Astăzi, mai mult ca niciodată, prețuim interacțiunea fizică și testăm efectul nociv și pervers al dezinformărilor care abundă pe rețelele de socializare. Este o lecție pe care am învățat-o în timpul acestei pandemii și cred că societatea noastră nu va mai fi niciodată la fel ca înainte.

Trebuie să realizăm și că toată această digitalizare, pe repede înainte, vine la pachet cu asumarea unor riscuri de care mi-aș dori să fim conștienți încă de la început.

Nu cred că suntem pregătiți încă să îmbrățișăm digitalizarea și să ne folosim la maxim de beneficiile acesteia. În urma recomandărilor autorităților din România, mai multe companii au decis să accepte, de pe o zi pe alta, ca angajații să lucreze de acasă. Din punct de vedere legal eram pregătiți, legislația română avea prevederi clare privind tele-munca și cele mai multe firme au semnat acum cu fiecare angajat doar un act adițional la contractul de muncă, pentru a îndeplini această formalitate birocratică. Foarte puține firme au investit în securizarea echipamentelor și a căilor de comunicare, alegând deseori soluțiile cele mai rapide și ieftine, utilizând de cele mai multe ori echipamentele proprii ale angajaților.

În ultimele zile chiar am urmărit cum a crescut numărul incidentelor de securitate, prin campanii de phishing, infectând mii de computere, bazându-se pe naivitatea utilizatorilor care acum citesc orice email legat de acest Coronavirus. Din păcate, foarte multe afaceri au de suferit și, mai mult decât efectele acestei pandemii, mă sperie valul de recesiune care ne va lovi peste câteva luni.

Mi-aș fi dorit să vorbim de digitalizarea mediului de business românesc, precum și a administrației publice, în alte condiții decât cele de astăzi.

Revenind la domeniul protecției datelor, chiar dacă DPO-ul este captiv între obligațiile legale impuse de legile organice, care pot limita drepturile persoanelor, și principiile și obligațiile GDPR, există, în opinia mea, o rețetă pentru a asigura un echilibru între toate aceste reglementări:

1. Implicarea DPO-ului. El este specialistul care astăzi poate să consilieze și să ghideze organizația în respectarea GDPR și păstrarea acestui echilibru cu obligațiile legale și interesele comerciale.
2. Respectarea celor șapte principii fundamentale ale GDPR. Aceste principii trebuie să devină o realitate, trebuie să fie implementate în orice fel de procedură, ca niște filtre care trebuie aplicate înainte de a lansa orice tip de document, orice fel de procedură.
3. Informarea persoanelor vizate. Este foarte ușor să investim în această informare prealabilă și să obținem, practic, o implicare și motivarea acestor persoane, pentru că, în fond, toate aceste proceduri restrictive sunt în interesul lor, al protecției datelor lor cu caracter personal.
4. Instruirea persoanelor și obținerea de garanții adecvate. Trebuie să fim foarte atenți atunci când datele angajaților noștri, sau datele clienților noștri, datele vizitatorilor noștri sunt prelucrate de către împuterniciții noștri ca operatori și să ne asigurăm că sunt implementate măsuri tehnice și organizatorice de protecție și securitate a acestor date personale pe tot procesul de prelucrare.
5. Evaluarea nivelului de prelucrare a datelor (de exemplu, dacă este excesiv) și identificarea unor metode mai puțin intruzive de prelucrare a datelor personale, fără a creste birocrația. Să nu uităm că DPO-ul este cel care poate evalua dacă discutăm de un nivel excesiv de prelucrare a datelor, trebuie să încercăm să limităm înscrisurile, astfel încât să nu creștem birocrația doar de dragul de a ne acoperi cu documente justificative privind respectarea acestei legi. Respectarea tuturor celorlalte principii GDPR s-ar face mult mai ușor dacă principiul minimizării ar fi respectat întocmai și pun accent mai ales pe acest lucru, deoarece noi, românii, companiile românești, instituțiile statului am ridicat birocrația aproape la nivel de tradiție. Nu tot ce e mult e și bun, un singur document bine întocmit și cu responsabilitate mă protejează la fel de bine ca zece documente pline de date personale nefolositoare, dar colectate pe sistemul „să fie”.

Concluzionez că această rețeta nu se aplică exclusiv în această perioadă de pandemie, cele cinci recomandări fiind aplicabile oricărei organizații care își propune în următorul an să își adapteze cultura organizațională și să îmbrățișeze principiile GDPR.