Stefan Gabriel Iancu: România este in top 3 din Europa la numarul de amenzi GDPR aplicate

INTERVIU EXCLUSIV

Vizualizari: 7809

Facebooktwittergoogle_plusredditpinterestlinkedinmail

Stefan Gabriel Iancu are o experiență de peste 21 ani în calitate de consilier juridic, DPO / Consultant Protectia Datelor, fiind fondatorul companiei iPrivacy. El si-a dezvoltat expertiza prin experienta profesionala in calitate de Legal Advisor, Regulatory Specialist, Business Ethics & Compliance Officer pentru BRD - Groupe Societe Generale, Vodafone, Cosmote, Siemens, OMV Petrom. Este unul din moderatorii Workshop-ulului dpo.Tools  organizat de Portalul dpo-NET.ro - Data Protection Officers Network, în data de 15 Ianuarie 2020, în parteneriat cu Wolters Kluwer RomâniaNeoPrivacy RomâniaSAMSUNGDecalex, Inperspective și iPrivacy și care abordează o tema de mare interes, "Incompatibilitatea și conflictul de interese în desfășurarea activității DPO, analizând situațiile în care Responsabilul cu protecția datelor nu iși poate îndeplini atribuțiile și obligațiile în concordanță cu Regulmentul 2016/679.  Stefan Gabriel Iancu a acceptat să ofere un interviu în exclusivitate pentru cititorii și abonații dpo-net.ro, reușind să analizeze motivele pentru care au fost aplicate sanctiuni GDPR in Romania intr-un an și jumătate de când se aplică Regulamentul 2016/679.  

Stiu ca urmariti cu atentie sanctiunile care se aplica in Romania in domeniul protectiei datelor. Ce ati constatat pana acum? Pentru ce au fost acordate aceste sanctiuni?

S.G.I: Anul 2018 a fost anul fara amenzi GDPR in Romania, realitate care a alimentat parerile cum ca termenul de gratie din 2016 pana in 2018 va fi prelungit sine die, ca GDPR-ul e doar un hype. In schimb, anul 2019 a pozitionat Romania pe locul 3 (dupa Regatul Unit si Germania) ca numar de amenzi (17) si pe locul 10 ca valoare a amenzilor (454,500 EURO).

Putem deja discuta despre primele date statistice privind Regulamentul 2016/679 privind protectia datelor cu caracter personaL, avand in vedere ca in Romania in 2019 s-au aplicat 17 amenzi:

  • 10 amenzi pentru neasigurarea securitatii prelucrarii datelor (art. 32) ;
  • 3 amenzi pentru insuficienta cooperare (art.58);
  • 2 amenzi pentru nerespectarea drepturilor persoanelor vizate, in speta dreptul de acces acces prevazut de art. 15, respectiv obligatia de transparenta prevazuta de art. 12;
  • 1 amenda pentru nerespectarea principiului minimizarii (art. 5 (1) c);
  • 1 amenda pentru nerespectarea cerintelor privind consimtamantul art. 5 (1) a) si 6 (1) a);

Puteau fi evitate aceste sanctiuni de catre operatorii romani ?

S.G.I: Raspunsul difera de la amenda la amenda.  Cel mai usor puteau fi evitate amenzile aplicate pentru insuficienta cooperare. In aceste situatii ar fi fost de dorit un efort minim de comunicare. Desigur, aceasta presupunea o constientizare prealabila a necesitatii si utilitatii acestei cooperari, iar aceasta constientizare era de datoria persoanei responsabile de protectia datelor.

Merita de reamintit poate, cu aceasta ocazie, ca desi nu toti operatorii de date cu caracter personal sunt obligati sa desemneze o persoana responsabila cu protectia datelor, toti operatorii sunt obligati sa respecte Regulamentul 679/2016.

In cazul incalcarii art. 32, raspunsul este mai putin simplu pentru ca respectarea acestei cerinte presupune pasi anteriori efectuati deja in organizatie, diferentele fiind semnificative de la operator la operator.

Raspunsul devine si mai putin simplu cand ne referim doar la cele mai mari 3 amenzi aplicate in Romania in 2019 (in suma de 360.000 EURO din care 150.000 EURO pentru Raiffeisen Bank SA, 130.000 EURO pentru UNICREDIT BANK SA , respectiv 80.000 Euro pentru ING Bank N.V.) desi prin raportare la numarul de persoane vizate afectate, sau la cifra de afaceri, acestea au fost mai degraba simbolice.

De asemenea, tinand cont de volumele, categoriile si tipurile de date prelucrate (cumulat, aproximativ 95 milioane clienti) de catre cei 3 operatori, numarul de angajati, de ordinal zecilor de mii, nivelul de cultura privind protectia datelor personale din statele unde isi au sediul firmele mama precum si raportat la nivelul profiturilor, cu siguranta nu au exstat dubii privind necestatea desemnarii responsabilului cu protectia datelor, astfel incat aceste persoane au fost cel mai probabil desemnate din timp. Prin aceasta putem intelege cel mai tarziu in anul 2016, 2017 sau, in cel mai rau scenariu posbil, 2018.

Pentru respectivii operatori, existau toate premisele, know-how, resurse umane, buget, sa se poata conforma, in timp util si sa demonstreze conformarea, la cerintele GDPR.

Ce ar trebui sa faca operatorii pentru a putea demonstra cerintele art. 32 din Regulamentul 2016/679 ?

S.G.I: In 2019, nu a fost posibila demonstrarea, de catre respectivii operatori, a respectarii cerintelor prevazute in art. 32 din Regulamentul 2016/679 ceea ce inseamna ca probabilele explicatii se regasesc in nerespectarea cerintelor din Regulament, Sectiunea 4: art. 37, 38 , 39 de unde decurg urmatoarele intrebari:

  • A fost/este responsabilul cu protecţia datelor desemnat pe baza calităţilor profesionale şi, în special, a cunoştinţelor de specialitate în dreptul şi practicile din domeniul protecţiei datelor, precum şi pe baza capacităţii de a îndeplini sarcinile?
  • A fost / este responsabilul cu protecţia datelor implicat în mod corespunzător şi în timp util în toate aspectele legate de protecţia datelor cu caracter personal?
  • A sprijinit operatorul şi persoana împuternicită de operator pe responsabilul cu protecţia datelor în îndeplinirea sarcinilor menţionate la articolul 39, asigurându-i resursele necesare pentru executarea acestor sarcini, precum şi accesarea datelor cu caracter personal şi a operaţiunilor de prelucrare, şi pentru menţinerea cunoştinţelor sale de specialitate?
  • S-a asigurat operatorul şi persoana împuternicită de operator că responsabilul cu protecţia datelor nu primeşte niciun fel de instrucţiuni în ceea ce priveşte îndeplinirea acestor sarcini ?
  • Acesta nu este demis sau sancţionat de către operator sau de persoana împuternicită de operator pentru îndeplinirea sarcinilor sale. Responsabilul cu protecţia datelor răspunde direct în faţa celui mai înalt nivel al conducerii operatorului sau persoanei împuternicite de operator?
  • Puteau persoanele vizate contacta responsabilul cu protecţia datelor cu privire la toate chestiunile legate de prelucrarea datelor lor şi la exercitarea drepturilor lor ?
  • S-a asigurat operatorul sau persoana împuternicită de operator că niciuna dintre aceste sarcini şi atribuţii ale responsabilului cu protectia datelor nu generează un conflict de interese?
  • A informat şi consiliat responsabilul pe operator sau persoana împuternicita de operator, precum şi pe angajaţii care se ocupă de prelucrare cu privire la obligaţiile care le revin în temeiul regulamentului şi al altor dispoziţii de drept al Uniunii sau drept intern referitoare la protecţia datelor?
  • A monitorizat responsabilul cu protectia datelor respectarea regulamentului, a altor dispoziţii de drept al Uniunii sau de drept intern referitoare la protecţia datelor şi a politicilor peratorului sau ale persoanei împuternicite de operator în ceea ce priveşte protecţia datelor cu caracter personal, inclusiv alocarea responsabilităţilor şi acţiunile de sensibilizare şi de formare a  personalului implicat în operaţiunile de prelucrare, precum şi auditurile aferente?
  • A furnizat consiliere la cerere în ceea ce priveşte evaluarea impactului asupra protecţiei datelor şi monitorizarea funcţionării acesteia, în conformitate cu articolul 35?
  • A cooperat eficient cu autoritatea de supraveghere?
  • Si-a asumat eficient rolul de punct de contact pentru autoritatea de supraveghere privind aspectele legate de prelucrare, inclusiv consultarea prealabilă menţionată la articolul 36 si consultarea cu privire la orice altă chestiune?
  • A tinut seama responsabilul cu protecţia datelor de riscul asociat operaţiunilor de prelucrare, luând în considerare natura, domeniul de aplicare, contextul şi scopurile prelucrării?

Toate aceste intrebari sunt pe agenda de lucru a workshop-ului din 15 Ianuarie 2020, care abordează  tema, "Incompatibilitatea și conflictul de interese în desfășurarea activității DPO, analizând situațiile în care Responsabilul cu protecția datelor nu iși poate îndeplini atribuțiile și obligațiile în concordanță cu Regulmentul 2016/679.

 

INTRA ACUM în grupul TELEGRAM "Comunitatea Dpo-NET.ro"!


Iți plac articolele dpo-NET.ro? Poți fi la curent cu toate aceste noutăți dacă ne urmărești zilnic pe paginile noastre de LinkedIn sau Facebook. 


Acest articol este protejat de către dispoziţiile legale incidente și este interzisă copierea, reproducerea, recompilarea, modificarea, precum şi orice modalitate de exploatare a acestuia. Articolele publicate pe DPO-NET.RO pot fi preluate doar în limita a maxim 500 de caractere, fără a depăşi jumătate din totalul de caractere, şi cu citarea obligatorie a sursei, cu link activ. Orice abatere de la această regulă constituie o încălcare a Legii 8/1996 privind dreptul de autor. Dacă sunteţi interesaţi de preluarea ştirilor și articolelor publicate pe DPO-NET.RO, vă rugăm să ne contactati.

O nouă apariție editorială: „SECURITATEA REȚELELOR ȘI A SISTEMELOR INFORMATICE. IMPLEMENTAREA DIRECTIVEI NIS ÎN ROMÂNIA”

INTERVIU EXCLUSIV

Vizualizari: 202741

Facebooktwittergoogle_plusredditpinterestlinkedinmail

Vă invităm marți, 12 Aprilie 2022, de la ora 17, să participați ONLINE la lansarea cărții "SECURITATEA REȚELELOR ȘI A SISTEMELOR INFORMATICE. IMPLEMENTAREA DIRECTIVEI NIS ÎN ROMÂNIA" a autorilor Marius Dumitrescu și Daniela Simionovici.

Acest proiect editorial apărut în colecția Științe Juridice la Editura Universitară, unic pe piața din România, se adresează operatorilor de servicii esenţiale, furnizorilor de servicii digitale şi responsabililor cu implementarea NIS la nivelul entităţilor vizate de prevederile Directivei NIS (energie, transport, sectorul bancar, domeniul medical, infrastructuri ale pieței financiare, infrastructură digitală, furnizarea și distribuirea de apă potabilă, piețe online, motoare de căutare online și servicii de cloud computing).

Scopul acestei cărți este de a-i ajuta pe cei vizaţi nu doar să implementeze prevederile Directivei, ci să înţeleagă importanţa acesteia şi, mai ales, faptul că serviciile esenţiale pe care le furnizează au nevoie de o protecţie deosebită nu pentru faptul că nerespectarea Directivei ar atrage după sine amenzi, ci pentru faptul că orice perturbare în furnizarea serviciilor esenţiale se poate traduce în disfuncţionalităţi grave la nivel comunitar şi chiar societal.

Participanții la evenimentul de lansare vor primi un discount de 10% pentru achiziția cărții. Preț întreg: 150lei / Preț special de lansare: 135lei  Transportul prin curier se calculează suplimentar.

Puteți plasa chiar acum o precomandă și veți primi cartea imediat după lansare. 

RĂSFOIEȘTE CUPRINSUL CĂRȚII | DESPRE AUTORI | CUVÂNT ÎNAINTE | INTRODUCERE

Titlu: Securitatea reţelelor şi a sistemelor informatice. Implementarea directivei NIS în România

  • ISBN: 978-606-28-1430-4
  • FormatTipărit  
  • Pagini: 452
  • Autori: Marius DUMITRESCU, Daniela SIMIONOVICI
  • Publicat de: Editura Universitară, Colecţia Ştiinte juridice
  • Data aparitiei: 2022

TRANSMISIUNE LIVE - LANSARE

Lansarea acestui proiect editorial se va face online, marți 12 aprilie 2022 începând cu ora 17:00, printr-o transmisiune LIVE pe Facebook, Linkedin, Youtube, Conferinte.ro si dpo-net.ro  la care vor lua parte mai mulți invitați speciali.

 

DESPRE ACEST PROIECT EDITORIAL

DAN CÎMPEAN - Director General al Directoratului Naţional de Securitate Cibernetică - DNSC"La mai mult de patru ani de la intrarea în vigoare a Directivei UE nr. 2016/1148 (Directiva NIS) şi la peste trei ani de la transpunerea acesteia prin Legea nr. 362/2018 privind asigurarea unui nivel comun ridicat de securitate a reţelelor şi sistemelor informatice, România a făcut progrese tangibile în procesul de implementare.

Însă, succesul implementării nu depinde doar de noile reglementări legislative ci şi de abilitatea efectivă a operatorilor de servicii esenţiale, a furnizorilor de servicii digitale şi a responsabililor cu implementarea NIS la nivelul entităţilor vizate de a înţelege, interpreta şi a aplica prevederile legale, normele tehnice şi metodologice aferente. Mai mult, este important ca specialiştii să poată aprecia corect şi implicaţiile aplicării acestor prevederi, prin prisma altor acte normative relevante.

Pentru aceasta, este nevoie de o analiză aprofundată, de obţinerea unor noi competenţe şi cunoştinţe specifice privind modalitatea de implementare a Directivei NIS în România şi de o schimbare culturală profundă din partea fiecăruia. Practic, este nevoie să studiem din nou, să avem acces la studii de caz detaliate şi la cunoştinţele aprofundate ale unor experţi recunoscuţi în domeniu.

Scrisă sub forma unui ghid detaliat şi pragmatic, acest superb material de implementare a Directivei NIS elaborează pe cuprinsul a sute de pagini foarte bine scrise experienţa concretă în domeniu a celor doi autori.

Într-o formă clară şi foarte bine prezentată, lucrarea pune la dispoziţie o varietate de explicaţii, îndrumări, recomandări, dar şi materiale de suport fiind una din publicaţiile extrem de necesare azi tuturor celor implicaţi în implementarea Directivei NIS.

Sunt surprins în mod plăcut de nivelul tehnic, pragmatismul ideilor şi recomandărilor exprimate în materialul publicat. Materialul ne explică în detaliu şi cu exemple practice elemente cheie ale responsabilităţilor ce revin operatorilor de servicii esenţiale şi furnizorilor de servicii digitale, dar şi detalii privind etapele implementării Legii nr. 362/2018 de către aceştia sau măsurile tehnice şi organizatorice de securitate ce trebuie aplicate. Efectiv, fiecare capitol ne oferă posibilitatea de a aplica şi implementa în practică prevederile directivei.

Mai mult, lucrarea acoperă şi o serie de elemente privind Directiva NIS 2.0, cu obiectivul de a anticipa şi pregăti cititorul pentru noile obligaţii ce derivă din evoluţia naturală a directivei.

Consider că ”Securitatea reţelelor şi a sistemelor informatice - Implementarea Directivei NIS în România” este unul din instrumentele esenţiale pentru specialiştii în domeniu, pe care îl recomand cu căldură a fi utilizat începând chiar de azi."

INTRA ACUM în grupul TELEGRAM "Comunitatea Dpo-NET.ro"!


Iți plac articolele dpo-NET.ro? Poți fi la curent cu toate aceste noutăți dacă ne urmărești zilnic pe paginile noastre de LinkedIn sau Facebook. 


Acest articol este protejat de către dispoziţiile legale incidente și este interzisă copierea, reproducerea, recompilarea, modificarea, precum şi orice modalitate de exploatare a acestuia. Articolele publicate pe DPO-NET.RO pot fi preluate doar în limita a maxim 500 de caractere, fără a depăşi jumătate din totalul de caractere, şi cu citarea obligatorie a sursei, cu link activ. Orice abatere de la această regulă constituie o încălcare a Legii 8/1996 privind dreptul de autor. Dacă sunteţi interesaţi de preluarea ştirilor și articolelor publicate pe DPO-NET.RO, vă rugăm să ne contactati.

Ce a însemnat anul 2020 pentru Responsabilul cu protecția datelor personale din România?

INTERVIU EXCLUSIV

Vizualizari: 24253

Facebooktwittergoogle_plusredditpinterestlinkedinmail

Daniela Cireasa a absolvit Facultatea de Drept, Universitatea Nicolae Titulescu, este consilier juridic din anul 2001 și Senior Partner în cadrul NeoPrivacy Romania. In 2018 a absolvit cursurile postuniversitare de protectia datelor „Protectia juridica a datelor personale” si a obtinut în iunie 2019 titlul de „Cel mai bun DPO din Romania” împreuna cu Echipa Nord Est DPO Romania la Targu Mures. Ofera consultanță în domeniul implementării Regulamentului General privind Protecția Datelor (GDPR) și este Responsabil cu protectia datelor (DPO). Cei 17 ani de activitate practica din care 4 ani in functie de conducere, au ajutat la cunoasterea mediului privat de afaceri si respectiv a activitatii departamentelor din cadrul unei societati de productie si comert, precum si schimburi intracomunitare. Este Vicepreședinte al ASCPD - Asociatia Specialistilor in Confidentililitate si Protectia Datelor și coautor al volumului "GDPR Aplicat", publicat la începutul acestui an. 

Daniela Cireasa a acceptat să ofere un interviu în exclusivitate pentru cititorii dpo-NET.ro, reușind să realizeze o radiografie fidelă a tuturor provocărilor profesionale, și nu numai, din acest an, pentru Responsabilul cu Protecția Datelor din România. 

Prin acest interviu i-am adresat doar două întrebări: cum a arătat agenda DPO-ului Daniela Cireașă și care au fost cele mai mari provocări cu care s-a confruntat în anul 2020?

D.C.: Deși a început în condiții de normalitate, anul 2020 avea să fie unul dintre cei mai plini de provocări ani, atât pentru DPO, cât și, în general, pentru întreaga omenire.

Dacă în 2019 ne-am concentrat pe problematici precum incompatibilitățile, poziția DPO-ului în cadrul organizației și metodele de a-și câștiga și consolida rolul stabilit de Regulament, cine este cu adevărat responsabil pentru implementarea GDPR și cine întocmește celebrul “dosar GDPR”, ce înseamnă cu adevărat măsuri tehnice și organizatorice "suficiente", anul 2020 se anunța destul de liniștit, fără mari provocări pentru DPO, concentrarea sa îndreptându-se către formarea profesională continuă în domeniu. Așa a debutat și anul meu, cu participarea în luna ianuarie la CPDP 2020 la Bruxelles (https://www.cpdpconferences.org/news/cpdp2020-full-program-available ).

Perspectiva mea profesională, din care scriu aceste rânduri, este una diversă, ca DPO extern, consultant în protecția datelor personale, co-autor al cărții “GDPR Aplicat”, dar și vicepreședinte al Asociației Specialiștilor în Confidențialitate și Protecția Datelor (https://ascpd.ro/). Fiecare dintre aceste roluri a presupus în 2020 foarte multă muncă de voluntariat și orientare către aducere de plus valoare prin articole, ghiduri, proceduri, webinare gratuite și conferințe online prin intermediul cărora am încercat să dau o mână de ajutor operatorilor si profesioniștilor în domeniu, dar, mai ales responsabililor cu protecția datelor personale, care au fost copleșiți în aceasta perioadă de noianul de schimbări și situații cu care nu s-au mai confruntat vreodată. În ianuarie 2020 am lansat, împreună cu Daniela Simionovici, Cătălina Lungu și Marius Florian Dan, volumul “GDPR Aplicat. Instrument de lucru pentru implementarea Regulamentului 679/2016”, carte care se adresează responsabililor cu protecția datelor personale dar și operatorilor sau persoanelor împuternicite.

Cea mai mare provocare, pentru noi toți, a venit în luna martie, o dată cu starea de urgență, când mulți dintre noi, DPO externi, am fost puși în situația de a suspenda contractele de servicii.

Odată cu starea de urgență a apărut provocarea educației online, procedurile privind școala online făcându-se anevoios, în totală nesiguranță din punct de vedere cibernetic. Am publicat împreună cu ceilalți co-autori ai “GDPR Aplicat” un set de recomandări pentru școala online (https://dpo-net.ro/specialistii-in-protectia-datelor-personale-sar-in-ajutorul-cadrelor-didactice-implicate-in-invatamantul-on-line/?cat=106), punând accentul pe securitatea prelucrărilor de date online, în mod special ținându-se seama că majoritatea persoanelor vizate erau minori. Demersul nostru a fost ulterior susținut și de către ASCPD prin “Scrisoarea deschisă adresată ministerului educației și cercetării privind limitarea accesului la educație al elevilor din Romania” atunci când s-a solicitat consimțământul părinților și declarații pe propria răspundere ale elevilor, atât la evaluarea națională cât și la bacalaureat (https://ascpd.ro/2020/06/17/ascpd-transmite-o-scrisoare-deschisa-adresata-ministerului-educatiei-si-cercetarii-privind-limitarea-accesului-la-educatie-al-elevilor-din-romania/), dar și prin reacția la cuvântul “bazaconie” folosit de fostul prim ministru atunci când a răspuns afirmației că profesorii invocă GDPR-ulca să evite lecțiile online. În reacția menționată am prezentat 10 situații în care procesul de teleeducație din România încalcă Regulamentul UE 2016/679, generând riscuri considerabile la adresa drepturilor și libertăților fundamentale ale tuturor actorilor implicați în învățământul online. Apreciez, din experiența proprie cu școala online, că lucrurile s-au mai îmbunătățit odată cu începerea anului școlar în septembrie, dar nu radical și încă se mai produc incidente. Amintesc cu acest prilej că a fost publicată o metodologie privind învățământul online, însă aceasta transferă întreaga responsabilitate a securizării cursurilor către unitățile de învățământ și profesori, iar mai nou, prin celebra declarație solicitată părinților și copiilor privind înregistrarea orelor online, răspunderea se transferă parțial și către părinți. La nivelul unităților de învățământ este o adevărată provocare pentru responsabilul cu protecția datelor deoarece nu se pun la dispoziție resurse materiale suficiente pentru măsurile pe care acesta le-ar recomanda. Aș adăuga aici și faptul că mulți dintre DPO de școală sunt profesori, neavând pregătirea necesară și nici suportul pentru îndeplinirea acestui rol.

În aprilie, datorită intensificării activității ONG-urilor de strângere de fonduri pentru acordarea de ajutor pe timpul pandemiei celor care aveau nevoie, am elaborat, împreună cu colegii din ASCPD, un Ghid destinat ONG-urilor (https://ascpd.ro/2020/04/27/ascpd-a-publicat-un-ghid-destinat-ong-urilor-implicate-in-campanii-de-strangere-de-fonduri-in-perioada-pandemiei-covid-19/). Scopul Ghidului a fost și este acela de a oferi celor implicați în activitatea de strângere de fonduri, un instrument cu ajutorul căruia să se asigure că respectă dreptul fundamental al persoanelor vizate la protecția datelor cu caracter personal, cu precizarea că respectarea prevederilor Regulamentului 679/2016 nu se suspendă în nicio situație, nici pe timp de pandemie, contrar celor auzite de multe ori anul acesta.

Începând cu luna mai a demarat organizarea de webinare și conferințe online, primele la care am participat fiind “Provocările procesului de cartografiere” (https://dpo-net.ro/participa-la-webinarul-dpo-tools-12-mai-2020-provocarile-procesului-de-cartografiere/?cat=67), prezentarea mea fiind axată pe cartografierea datelor personale în domeniul resurselor umane, iar următorul eveniment a avut un subiect îndelung comentat anul acesta: “Termoscanarea și implicațiile asupra relațiilor de muncă” (https://dpo-net.ro/dpo-talks-21052020-webinar-termoscanarea-implicatiile-asupra-relatiilor-de-munca/?cat=67).  Tot în cursul lunii mai 2020 am elaborat și publicat gratuit o procedură privind termoscanarea (https://dpo-net.ro/document-gratuit-procedura-controlul-temperaturii-angajatilor/?cat=58), în contextul în care apărea legislație nouă aproape zilnic, cea mai mare provocare pentru operatori dar și pentru DPO fiind aceea că termoscanarea nu trebuie să se facă cu prelucrare de date personale, lucru aproape imposibil în practică, deoarece majoritatea locurilor în care se face/făcea termoscanarea sunt amplasate la intrarea în unitate, deci supravegheate video și, dacă erau depistați angajați cu temperatura peste 37,3 grade, aceștia erau direcționați către medicul de familie, înregistrându-se în evidențele angajatorului motivul absenței acestora. De asemenea, DSP-urile județene, cu ocazia verificării îndeplinirii acestei obligații, solicitau dovada măsurării temperaturii, dovadă care implica, de cele mai multe ori, prelucrarea de date personale. Așadar, rolul DPO-ului în cazul termoscanării a fost unul deosebit de dificil, cadrul legal în permanentă modificare, presiunea persoanelor vizate (să ne amintim de CIP-puri, sârmele din măști, 5G și alte fakenews din perioada aceea), managementul superior care încerca să-și protejeze business-ul, toate acestea făcând misiunea DPO-ului foarte grea. Am recomandat la momentul respectiv formarea unei comisii din care să facă parte atât managementul cât și responsabilul cu sănătatea și securitatea în muncă, medicul de medicina muncii, juristul și DPO-ul, comisie care să gestioneze situația în cele mai bune condiții posibil.

În luna iunie, pe fondul solicitării consimțământului în procesul de educație dar și în procesul termoscanarii, am scris, împreună cu Marius Dumitrescu, articolul “De unde provine falsa supremație a consimțământului ca temei legal”, manifestându-ne îngrijorarea că, după 2 ani de la punerea în aplicare a GDPR, încă se mai discută întâi de consimțământ și abia apoi se verifică existența unui alt posibil temei de prelucrare a datelor personale. Concluzia a fost că această confuzie provine din vechea ierarhie din Legea 677/2001, lege în care consimțământul era considerat principalul temei al prelucrării, operatorii scăpând din vedere că situația s-a schimbat o dată cu apariția Regulamentului și a ghidului privind consimțământul.

Luna iulie a adus două noi evenimente online în cadrul cărora am prezentat prelucrarea datelor personale în cazul sănătății și securității în muncă (https://www.youtube.com/watch?v=6FpbUTqkmkE), dar și a medicinei muncii (https://www.youtube.com/watch?v=6XdDWfsenjM&t=16727s), prezentări care s-au concretizat într-un articol apărut în numărul trei al Revistei pentru protecția și securitatea datelor cu caracter personal. De ce SSM și MM? Deoarece am întâlnit cazuri în care încă nu se înțelege calitatea de persoana împuternicită sau operator asociat a responsabilului extern cu SSM și a medicului de medicina muncii, încă nu se înțelege că volumul de date prelucrat de către aceștia este unul impresionant, iar incidentele de securitate sunt destul de frecvente. De asemenea, am ales acești doi actori deoarece sunt deosebit de importanți în perioada pandemiei pentru activitatea oricărui operator de date personale. Una dintre ultimele provocări în calitate de DPO a fost aceea a unui operator care a declarat că responsabilul extern de SSM este operator independent și că nu au niciun fel de relație conform GDPR.

Tot luna iulie a adus, de data aceasta pentru toți operatorii de date, una dintre cele mai mari provocări din istoria protecției datelor personale: invalidarea Privacy Shield cu Statele Unite.

16 iulie 2020. O dată de la care aproape toți operatorii de date personale din România ar fi trebuit să-și reconsidere soluțiile de tip website, găzduire e-mail, servicii de newsletter, cloud, conturi pe rețele de socializare, cookie-ului de analiză, remarketing, aplicații, găzduire de baze de date și altele. Invalidarea Scutului de confidențialitate a avut ecou în rândul specialiștilor în protecția datelor din întreaga lume, însă, cei afectați direct, respectiv operatorii de date personale și persoanele vizate, nu par a  fi la curent cu această decizie sau, în orice caz, nupar a conștientiza efectele ei.

Operatorii ar putea spune că ei nu fac niciun transfer de astfel de date către SUA, uitând să analizeze furnizorii de servicii de tip newsletter, spre exemplu, sau categoriile de cookie instalate pe website-ul companiei. Transferurile de acest tip sunt frecvente și mulți dintre operatori le-au făcut și încă le fac inconștient. Menționez aici lipsa acordurilor încheiate cu persoanele împuternicite chiar și anterior Deciziei de invalidare a scutului de confidențialitate sau utilizarea încă frecventă a adreselor de e-mail de tip yahoo sau gmail în scop profesional. Revenind la problematica ridicată de către Decizie, apreciez că efectele acesteia nu sunt cunoscute încă nici de către marea masă a operatorilor și nici de către persoanele vizate. Mai multe detalii despre această decizie puteți citi în articolul “Impactul invalidării Privacy Shield și posibile soluții pentru operatorii de date personale” (https://dpo-net.ro/impactul-invalidarii-privacy-shield-si-posibile-solutii-pentru-operatorii-de-date-personale/?cat=36).

Deși am recomandat operatorilor din Romania să apeleze la specialiști în domeniul protecției datelor personale, nici pentru aceștia misiunea de a convinge operatorii să renunțe la soluții din SUA în favoarea altora din UE, nu a fost deloc ușoară. Anul acesta am avut ocazia să moderez evenimentul “Schrems II- Avem soluții?” (https://dpo-net.ro/webinar-dpo-talks-schrems-ii-avem-solutii-02-11-2020/) în cadrul căruia am identificat soluții românești atât pentru newsletter, platforme online, plata online, cloud, găzduire și multe altele, așadar am încercat să facem misiunea DPO-ului mai ușoară, oferindu-i instrumente alternative celor din Statele Unite.

În luna septembrie am prezentat, în cadrul Conferinței “Protecția datelor personale. Impactul noilor tehnologii și dreptul” desfășurată în cadrul «International Summer School 2020» ediția a XIII-a , desfășurată la Târgu Mureș, lucrarea privind invalidarea Privacy Shield, lucrare ce a devenit ulterior subiectul unui articol publicat.

Luna octombrie a adus două declarații nefericite pentru protecția datelor personale și, pe cale de consecință, pentru poziția DPO-ului în organizații, dar și în mentalul celor din jur: termenul de “bazaconie” folosit de către fostul premier (https://ascpd.ro/2020/10/03/ascpd-isi-manifesta-ingrijorarea-fata-de-utilizarea-termenului-bazaconie-in-declaratiile-publice-ale-premierului/), și cel de “eșafodaj complicat”, folosit de către un europarlamentar român la adresa Regulamentului privind protecția datelor personale. Astfel de declarații nu fac deloc mai ușoară munca DPO-ului, ba dimpotrivă.

Lunile octombrie și noiembrie s-au concentrat, în ceea ce mă privește, pe telemuncă, provocările aduse de aceasta și recomandările pentru operatori, angajați și DPO, concretizând aceasta activitate atât prin participarea la evenimente online cu acest subiect (https://neoprivacy.ro/webinar-digitalizarea-beneficii-provocari-legate-de-telemunca-30-10-2020/), cât și prin scrierea de articole (https://dpo-net.ro/telemunca-si-protectia-datelor-personale-in-contextul-digitalizarii/?cat=106) și publicarea, împreună cu colegii din Neoprivacy, a unei Proceduri gratuite privind munca în afara sediului angajatorului (https://neoprivacy.ro/procedura-privind-munca-in-afara-sediului-angajatorului-gratuit/).

Reglementată de Legea 81/2018 și impusă în viața noastră mai repede decât ne-am fi așteptat de către pandemia Covid 19, telemunca, dar și munca la domiciliu au devenit o realitate tot mai prezentă. Este evident că viitorul se îndreaptă către digitalizare și activități preponderent online în toate domeniile vieții noastre, inclusiv în ceea ce privește munca de la distanță, în alte locații decât sediul angajatorului dar, o dată cu ea, apar noi provocări, atât pentru angajați, cât și pentru angajatori și, evident, pentru DPO.

Conform articolului 4 alin. 3 din Legea 81/2018, angajatorii pot verifica activitatea angajaților care lucrează prin telemuncă în condițiile și în modalitatea concretă stabilite prin Regulamentul intern, contractul individual sau colectiv de muncă, după caz. Așadar, condițiile și modalitățile efective de monitorizare trebuie stabilite în mod transparent anterior începerii activității de telemuncă.

Recomand ca înainte de a pune în aplicare orice formă de monitorizare a angajaților, angajatorul să efectueze o analiză a gradului de imixtiune în viața privată a angajatului, a riscurilor pentru drepturile și libertățile acestuia șisă-și adapteze politicile și procedurile la legislația internă și la cea a Uniunii Europene, la recomandările privind prelucrarea datelor personale la locul de muncă, la jurisprudența Curții de Justiție a Uniunii Europene în materie dar și la  amenzile aplicate până acum pentru monitorizarea excesivă a angajaților.

Este de menționat și în acest caz rolul Responsabilului cu protecția datelor personale în întocmirea dar și monitorizarea respectării acestei proceduri. Apreciez că riscul apariției unui incident de securitate este cu mult mai ridicat decât în condițiile muncii normale, de la birou, așa că se impun măsuri tehnice și organizatorice mai stricte. Această temă este tratată pe larg într-un articol din numărul patru al Revistei române pentru protecția și securitatea datelor cu caracter personal, scris împreună cu Daniela Simionovici.

În luna noiembrie ne-a pregătit o surpriză și o provocare și mai mare pentru noi, Responsabilii cu protecția datelor personale: proiectul de lege privind profesia de DPO (https://www.juridice.ro/wp-content/uploads/2020/12/20b653FG.pdf). Un proiect de lege complet eronat, căruia i s-au adus critici atât de către ASCPD (https://ascpd.ro/2020/11/12/ascpd-contesta-continutul-si-modul-de-legiferare-ales-pentru-organizarea-profesiei-de-responsabil-cu-protectia-datelor-in-romania/), de către avocați (https://www.juridice.ro/706312/nici-gdpr-nu-e-pentru-oricine-opinie-fata-de-un-proiect-de-lege-si-fata-de-punctul-de-vedere-al-unbr.html ),  dar și de către mediul de business, profesori universitari, și, în general, de majoritatea celor specializați în domeniul protecției datelor. Proiectul de lege amintit nu numai că încalcă legislația internă, dar și Regulamentul UE 679/2016, afectând dramatic rolul Responsabilului cu protecția datelor personale așa cum a fost el stabilit de către GDPR. De asemenea, prin proiectul de lege se stabilesc atribuții noi pentru Autoritatea de supraveghere, care nu a fost consultată anterior depunerii lui.

Deși speram că luna decembrie va fi, în sfârșit, una liniștită,  se pare că este doar liniștea dinaintea unei noi furtuni, deoarece zilele trecute a fost depus un nou proiect de lege care impactează activitatea Responsabililor cu protecția datelor personale, de data aceasta din domeniul educației: supravegherea audio-video în sălile de clasă (http://www.cdep.ro/proiecte/2020/600/70/8/pl888.pdf). Proiectul este la fel de plin de încălcări ale legislației în vigoare (internă, dar și europeană), neținând cont nici de jurisprudența în materie.

Apreciez că persoanele vizate încep să-și cunoască drepturile, anul acesta am avut mai multe solicitări de ajutor ca niciodată pentru formularea de cereri pe dreptul de acces, numai în ultima lună având 3 (toate pentru primirea de mesaje prin poștă sau sms în cursul campaniei electorale).

Anul acesta a adus cu sine numeroase sancțiuni ale încălcării Regulamentului aplicate atât în Europa cât și în România. Am tratat pe larg aceste sancțiuni împreună cu Marius Dumitrescu și Daniela Simionovici în numerele 2,3 și 4 ale Revistei române pentru protecția și securitatea datelor cu caracter personal. Ceea ce este de subliniat e paleta largă a încălcărilor sancționate de către Autoritatea de supraveghere din România, printre care amintesc lipsa implementării de măsuri tehnice și organizatorice, lipsa de cooperare, lipsa notificării incidentelor de securitate, lipsa de răspuns la cererile persoanelor vizate, lipsa de ducere la îndeplinire a măsurilor corective dar și încălcarea principiilor din GDPR. Este de menționat una dintre cele mai mari amenzi aplicate vreodată de către autoritatea română, cea dată Băncii Transilvania, publicată în cursul lunii decembrie 2020 și care scoate în evidență importanța covârșitoare a instruirii angajaților, dincolo de măsurile tehnice de securitate implementate (https://www.dataprotection.ro/?page=Comunicat_17_12_2020&lang=ro ). Până la urmă, așa cum s-a dovedit în nenumărate rânduri, angajații sunt cea mai mare vulnerabilitate și cred că anul 2021 ar trebui să fie despre conștientizare și instruiri repetate ale personalului.

Apreciez în mod deosebit faptul că Autoritatea de supraveghere a întocmit și publicat Ghidul cu recomandări pentru asociațiile de proprietari (https://www.dataprotection.ro/?page=Prelucrarea_datelor_personale_de_catre_asociatiile_de_proprietari&lang=ro ), acestea fiind printre cei mai sancționați operatori.

Anul 2020 a fost o provocare pentru întreg mediul economic, mulți operatori restrângându-și activitatea și renunțând, printre primele lucruri, la “moftul” numit GDPR, acest fapt afectând activitatea multor DPO externi.

În concluzie, cuvintele cheie pentru activitatea DPO-ului în anul 2020 sunt: provocare continuă, voluntariat, digitalizare, rol cheie în organizație, conștientizarea importanței datelor personale de către operatori și persoanele vizate.

De la anul 2021 cred că Responsabilii cu protecția datelor își doresc recomandările Comitetului European pentru Protecția Datelor Personale în urma invalidării Privacy Shield, ghidul pentru operatorii asociați și persoanele împuternicite dar, în primul rând, întoarcerea la normalitate, deși ea nu va mai fi niciodată la fel, ci vom fi confruntați cu o normalitate redefinită și marcată de cu totul alte repere decât cele cu care am fost obișnuiți.

Din punctul de vedere al activității Asociației Specialiștilor în Confidențialitate și Protecția Datelor, anul 2021 se anunță unul plin, debutând în luna ianuarie cu organizarea Conferinței Naționale de Confidențialitate și protecția datelor PRIVACY ROMANIA 2021 (https://privacyromania.ro/).

 

INTRA ACUM în grupul TELEGRAM "Comunitatea Dpo-NET.ro"!


Iți plac articolele dpo-NET.ro? Poți fi la curent cu toate aceste noutăți dacă ne urmărești zilnic pe paginile noastre de LinkedIn sau Facebook. 


Acest articol este protejat de către dispoziţiile legale incidente și este interzisă copierea, reproducerea, recompilarea, modificarea, precum şi orice modalitate de exploatare a acestuia. Articolele publicate pe DPO-NET.RO pot fi preluate doar în limita a maxim 500 de caractere, fără a depăşi jumătate din totalul de caractere, şi cu citarea obligatorie a sursei, cu link activ. Orice abatere de la această regulă constituie o încălcare a Legii 8/1996 privind dreptul de autor. Dacă sunteţi interesaţi de preluarea ştirilor și articolelor publicate pe DPO-NET.RO, vă rugăm să ne contactati.

Daniela Simionovici: “Există soluții pentru reducerea riscului unei amenzi GDPR”

Daniela Simionovici a absolvit cursurile Universității Ștefan cel Mare din Suceava, specializarea Asistență socială și un master în consiliere și administrare resurse umane la aceeași universitate. A absolvit […]

Mihai Ghita: „Digitalizarea este cea care asigura continuitatea afacerii”

Portalul dpo-NET.ro – Data Protection Officers Network reia organizarea evenimentelor dpo.TALKS și organizează împreună cu Sypher Solutions și NeoPrivacy România, în data de 30 Septembrie 2020, în intervalul […]

Care a fost cea mai mare provocare a companiilor in procesul de obtinere si mentinere a conformitatii GDPR?

Specialistii in protectia datelor au fost cei care au lucrat alaturi de organizatii in procesul de obtinere si mentinere a conformitatii GDPR. Am vrut sa stim care a […]

Care a fost cea mai mare provocare, în ultimii doi ani, pentru specialistii in protectia datelor personale?

Data de 25 mai 2020 a marcat 2 ani de la implementarea regulamentului GDPR in Uniunea Europeana. Au fost doi ani plini de schimbari, atat pentru utilizatori, cat […]

Ce am învățat în primii 2 ani de GDPR în România?

Data de 25 mai 2020 a marcat 2 ani de la implementarea regulamentului GDPR in Uniunea Europeana. Au fost doi ani plini de schimbari, atat pentru utilizatori, cat […]

Marius Dumitrescu: “Este trist ca a fost nevoie de acest coronavirus pentru a înțelege mai bine GDPR-ul”

Astăzi, 25 mai 2020, se împlinesc doi ani de la aplicarea Regulamentului general privind protecția datelor personale (GDPR), moment prielnic pentru noi toți de a realiza o scurtă […]

Ovidiu Ionescu: Conformarea GDPR, deși nu este aducătoare de profit, este o carte de vizită foarte prețioasă

Ovidiu Ionescu a absolvit Facultatea de Administrație Publică, din cadrul SNSPA, în anul 2013 și Facultatea de Drept, Universitatea Titu Maiorescu, în anul 2017. A urmat 7 ani […]

Daniela Cireașă: „Realizarea cartografierii nu este sarcina exclusivă a DPO-ului”

Daniela Cireasa a absolvit Facultatea de Drept, Universitatea Nicolae Titulescu, este consilier juridic din anul 2001. In 2018 a absolvit cursurile postuniversitare de protectia datelor „Protectia juridica a […]

Alexandru Luca: În acest context, digitalizarea nu este o noutate, este mai mult o oportunitate

Alexandru Luca, în prezent Mobile Division Manager – Cybersecurity BU in cadrul comapaniei certSIGN, are o experiență de peste 15 ani în domeniul IT&C, asumându-și roluri cheie în […]

Alexandru Gheorghe: Nu am găsit în România experți care să realizeze o „autopsie” a unui telefon mobil

Alexandru Gheorghe are o experiență de peste 12 ani în calitate de consilier juridic, DPO / Consultant Protectia Datelor, fiind fondatorul companiei Inperspective. El a format și condus […]

Ovidiu Seceleanu: „Containerizarea, inovația SAMSUNG pentru utilizarea GDPR a terminalelor mobile”

Preocupați de impactul tehnologiei în activitatea operatorilor de date cu caracter personal, specialisti si responsabili cu protectia datelor din întreaga țară sunt invitati sa participe la cea de-a […]

Alexandra Jivan: „În cazul unui litigiu, salariații s-ar putea prevala de lipsa de informare, susținând că nu cunosc procedurile”

Alexandra Jivan (CIPP/E) are o experiență profesională de peste 11 ani, oferind consultanță și reprezentare juridică, atât startup-urilor, precum și companiilor multinaționale. În 2018, a fost inițiatorul proiectului […]

Trevor Hughes, CEO IAPP: „În domeniul protecției datelor, avem o nouă profesie hibridizată”

Participând la cea de-a 13-a ediție a Conferinței pentru informatică, confidențialitate și protecția datelor (CPDP2020), desfășurată la Bruxelles în perioada 22-24 ianuarie 2020, Trevor Hughes, Președintele Asociației Internaționale […]

Cursul postuniversitar UMFST Târgu Mureș de protecția datelor a ajuns la debutul celei de-a treia ediție

Cursul postuniversitar „Formare si pregatire a Responsabilului cu Protecția Datelor”, organizat de Centrul de cercetare pentru protecția datelor, constituit in cadrul Universității de Medicina, Farmacie, Științe și Tehnologie […]

Nicolae Ploeșteanu: „Consider că fiecare practician trebuie să aibă această carte”

In domeniul protecției datelor în România, anul 2020 a debutat cu lansarea pe piață a acestui volum, intituat „GDPR Aplicat. Instrumente de lucru pentru implementarea Regulamentului UE 679/2016”, […]

„Operatorii ar trebui sancționați pentru desemnarea persoanelor nepotrivite în functia de DPO?”

Alexandru Gheorghe are o experiență de peste 12 ani în calitate de consilier juridic, DPO / Consultant Protectia Datelor, fiind fondatorul companiei Iperspective. El a format și condus […]

Anul 2019 văzut prin ochii unui GDPR-ist, 10 momente memorabile

Este sfarsit de an si fiind un moment de bilant nu pot sa nu ma gandesc la cat de multe lucruri am realizat pe plan profesional si mai […]

Cătălina Lungu: „De Black Friday, vânătorii de chilipiruri se pot transforma în victime”

Cătălina Lungu este Responsabil cu protecția datelor (DPO) si Consultant GDPR la Proactiv Cons SRL , fiind licențiată în managementul firmei și absolventă a cursurilor postuniversitare în protecția […]

Brittany Kaiser: Intervenția străinilor în alegerile din România încă este o amenințare (VIDEO)

În calitate de fost Director de dezvoltare a afacerilor la Cambridge Analytica, Brittany Kaiser este un celebru denuntator, demascând modul în care au fost influențați și manipulați oamenii, […]

Gradul de conformare GDPR, în domeniul sanitar românesc, nu a depășit 15%

Regulamentul General privind Protecția Datelor (GDPR-General Data Protection Regulation) a apărut pentru a oferi un grad de control într-o lume dominată de tehnologie, iar conformarea la acest Regulament […]

gazduire wordpress gazduire magazin online gazduire web wordpress gazduire domeniu gazduire site gazduire web web hosting gazduire web romania hosting romania domenii web inregistrare domenii server vps servere vps gazduire vps reseller gazduire web