Sunt furnizor de Cloud. Cum pot obține conformitatea GDPR?

Bart van Buitenen

Bart van Buitenen

 

Bart van Buitenen este managing partner al White Wire, o firmă de consultanță de tip boutique specializată în servicii de protecție a datelor pentru organizațiile de îngrijire a sănătății, IMM – uri și companii de tehnologie din întreaga UE.

 

 

Dacă sunteți un furnizor de Cloud, cu sau fără sediu în UE, este foarte probabil că o parte din datele pe care le prelucrați sunt pe teritoriu european sau privesc persoane care au un domiciliu stabil în UE, și atunci trebuie să vă aliniați la reglementările GDPR. Termenul specific care indică un furnizor care procesează date personale în numele unei organizații este cel de Procesator.

Până acum, o mare atenție se punea pe rolul de “Operator”, adică organizația care este responsabilă cu determinarea mijloacelor și scopurilor procesării, fără să se acorde o prea mare atenție rolului procesatorului. Și iată că față de legislația anterioară, GDPR schimbă multe lucruri în legătură cu obligațiile procesatorului, de exemplu în ceea ce privește răspunderea, responsabilitate și o serie de noi obligații. Iată câteva dintre cele mai importante aspecte pe care cred că furnizorii de Cloud ar trebui să le aibă în vedere, cu toată seriozitatea, până pe 25 mai 2018.

1. Acordurile de prelucrare a datelor

Operatorii sunt cei care trebuie să ofere instrucțiuni specifice procesatorilor, iar astfel de instrucțiuni trebuie să fie documentate în așa-numitele “Acorduri de prelucrare a datelor”. Astfel de acorduri nu sunt noi: ele au fost, de asemenea, impuse în temeiul legislației europene anterioare privind protecția datelor (Directiva 95/46 și, prin urmare, au devenit aplicabile prin legislația fiecărui stat membru), dar în practică acorduri corecte și concrete sunt destul de greu de găsit… Cele mai multe organizații nu au fost conștiente de cerința unor acorduri de procesare a datelor, iar pentru furnizorii de Cloud, acest lucru însemna, de obicei, mai multă muncă și responsabilități, fără prea multe avantaje în schimb.

Acest lucru s-a schimbat în GDPR: Articolul 28 menționează în mod specific acordurile de prelucrare a datelor și arată în detaliu ce ar trebui să includă. Spre deosebire de anii precedenți, furnizorii de Cloud au acum un stimulent clar pentru a încheia acorduri de prelucrare. Acordul trebuie să includă instrucțiunile pentru furnizorul de Cloud și, ca atare, devine un factor foarte important în stabilirea răspunderii. (Articolul 82, Alineatul 2).

Sfaturi:

  • Fiți proactivi, nu așteptați ca operatorul să va propună primul acordul de procesare a datelor! Astfel, veți avea posibilitatea de a vă propune propriul model de contract și, în același timp, veți arăta clientului că pentru dvs. nu există secrete în GDPR.

2. Subcontractorii

Acordurile de prelucrare a datelor trebuie să fie încheiate cu clienții dvs., dar furnizorii de Cloud au adesea proprii lor subcontractori. În lumea IT, utilizarea subcontractorilor este ceva normal, iar mulți subcontractori vor fi într-adevăr procesatori pentru furnizorul de Cloud. Din perspectiva clienților care folosesc Cloudul (operatorii), acești subcontractori sunt deci ”subprocesatori”. Un furnizor de Cloud trebuie să ceară permisiunea operatorului de a utiliza subprocesatori, ceea ce ar trebui să se regăsească și în acordul dvs. de procesare (a se vedea secțiunea 1). Utilizarea de subprocesatori poate fi acoperită printr-o permisiune generică sau o permisiune specifică pentru fiecare subprocesator. Procesatorul rămâne responsabil, astfel încât acordurile cu subprocesatorii trebuie să aibă un grad ridicat de încredere pe lista furnizorilor de Cloud.

Sfaturi:

  • Solicitarea unei permisiuni specifice poate fi un o provocare. Cereți o permisiune generică și oferiți clienților posibilitatea de a consulta oricând o listă completă de subprocesatori, de ex. prin publicarea acestei liste pe o pagină dedicată de pe site-ul dvs.

 3. Înregistrarea activităților de prelucrare

Fiecare operator trebuie să mențină o evidență a activităților de procesare: un instrument de evidență sau un document care detaliază diferitele activități de prelucrare a datelor cu caracter personal din cadrul organizației. O versiune mai puțin riguroasă a acestei evidențe trebuie să fie menținută de procesator, dar care totuși trebuie să includă toate activitățile de procesare derulate pentru clienții săi.

Sfaturi:

  • Crearea unei astfel de evidențe a activităților de procesare va oferi o cunoaștere valoroasă în identificarea datelor pe care le procesați și ar trebui să fie una dintre primele acțiuni într-un plan de implementare GDPR.
  • Organizațiile se pierd, uneori, în detalii; rețineți că GDPR nu vă cere să mapați fiecare câmp de date, este vorba despre evidența activităților care se mapează destul de strâns cu serviciile oferite clienților.
  • Nu păstrați un registru pentru fiecare client; doar asigurați-vă că puteți asocia clienții cu activitățile de procesare prin includerea serviciilor pe care le oferiți pentru fiecare client în sistemul dvs. CRM sau în baza de date cu clienții.

4.Transferuri în afara UE

Atunci când datele cu caracter personal ale clienților din UE sunt transferate în țări din afara Uniunii este important ca datele să beneficieze de aceleași sisteme de protecție și garanții ca și în interiorul granițelor UE.

Sfaturi: Pentru a facilita astfel de transferuri, GDPR include mai multe mecanisme care fac acest lucru posibil, dintre care cele mai răspândite sunt:

  • Decizii de adecvare: atunci când UE a stabilit că o țară din afara UE (sau un acord specific cu o astfel de țară, de ex. Privacy Shield cu SUA) oferă o protecție adecvată.
  • Reguli corporative obligatorii (BCR – Binding Corporate Rules): multe companii multinaționale au subsidiare în țări din afara UE. Documentația BCR asociată unei organizații trebuie să se asigure că un transfer de date personale în afara UE, dar în cadrul aceleiași organizații, oferă aceleași garanții de protecție. Autoritățile de protecție a datelor trebuie să valideze BCR înainte ca prevederile să fie aplicate.
  • Clauze contractuale standard (SCC – Standard Contratual Clauses): sunt contracte predefinite, validate de Comisia Europeană, ce conțin toate garanțiile de protecție necesare pentru transferurile în afara UE.

5. Securitatea informațiilor sau protecția datelor

Securitatea informațiilor și protecția nu sunt aceleași. Securitatea informațiilor se referă la toate informațiile, care includ datele cu caracter personal. Protecția datelor se referă la toate aspectele legate de prelucrarea datelor cu caracter personal, care includ securizarea informațiilor. Deci, în același timp există o suprapunere clară, dar și o diferență semnificativă.

Acestea fiind spuse, asigurarea informațiilor împotriva accesului neautorizat, pierderii sau distrugerii este un aspect foarte important în cadrul GDPR. Pe scurt, acest aspect al GDPR poate fi rezumat prin menținerea confidențialității, integrității și disponibilității (cunoscută și sub numele de CIA) datelor personale pe care un furnizor de Cloud le procesează. Rețineți că orice încălcare a acestor principii ale CIA (de exemplu, încălcări ale datelor) va trebui să ducă la o notificare către operator, care, la rândul său, va trebui să notifice autoritățile de protecție a datelor și persoanele vizate, dacă riscurile potențiale ale încălcării sunt destul de ridicate.

Sfaturi:

  • Alinierea inițiativelor GDPR la guvernarea securității informațiilor. De exemplu, standardul ISO27001 poate fi combinat cu principiile de protecție a datelor pentru a oferi un cadru care să abordeze atât securitatea informațiilor, cât și protecția datelor.
  • Gândiți și documentați o procedură de notificare înainte de a avea practic nevoie de ea.
  • Examinați necesitatea de numi un ofițer de protecție a datelor (DPO). Chiar și atunci când clienții individuali nu sunt obligați să numească unul, este posibil ca un furnizor de Cloud să fie nevoit să numească unul.

6. Obligația de asistare și notificare

Procesatorii sunt obligați să asiste sau să notifice operatorii atunci când au informații despre faptul că un operator trebuie să îndeplinească cerințele GDPR, cum ar fi executarea DPIA sau notificările de încălcare a datelor menționate anterior.

Sfaturi:

  • Documentați (de exemplu, în contractul de procesare sau în alt contract) cum trebuie să aibă loc asistența: cum ar trebui să se facă o cerere, în ce termen va răspunde furnizorul de Cloud și dacă există costuri asociate asistenței.

7. Fiecare procesator este, de asemenea, un operator

Rețineți că este foarte probabil ca furnizorii de Cloud să fie în același timp și procesatori și operatori de date în nume propriu. Unele departamente precum HR, Furnizori, Clienți pot efectua prelucrări de date cu caracter personal, caz în care trebuie să se supună acelorași principii ale GDPR.

Sfaturi:

  • Păstrați înregistrări separate privind activitățile de procesare (vezi secțiunea 3) pentru activitățile de operator și procesator.

 

Acest articol a fost publicat in primul Catalog GDPR Ready editat in Romania. Puteti vedea versiunea online AICI. Catalog GDPR Ready, pag. 50-53, Agora Group & cloud☁mania, Bucuresti, Octombrie 2017

 

Advertisements

Sunteți pregătiți pentru GDPR? Noi suntem pregătiți să vă ajutăm

Acest articol a fost publicat de compania Omega Trust îCatalogul GDPR Ready, Octombrie 2017

Ce este GDPR? Regulamentul European privind Protecția Datelor (GDPR) stabilește principii și măsuri de protecție a datelor cu caracter personal ale cetăţenilor Uniunii Europene pentru companiile și instituțiile care procesează astfel de date. GDPR reprezintă challenge-ul companiilor publice și private din următoarele 12 luni și este prima reglementare completă cu privire la protecția datelor emisă în ultimii 20 de ani care înlocuiește cadrul legislativ actual (Directiva 95/46/CE).

Pentru cine se aplică? Orice activitate instituțională desfășurată la nivelul Uniunii Europene ce procesează date cu caracter personal cu privire la angajați, clienți sau oricare alte entități cu care interacționează trebuie să se alinieze la cerințele GDPR.

Așadar, orice instituție publică sau privată de pe teritoriul Uniunii Europene sau din afara teritoriului Uniunii Europene (dacă manipulează date cu caracter personal ale unor cetățeni ai Uniunii Europene) care colectează, prelucrează și/sau stochează date cu caracter personal trebuie să răspundă prevederilor GDPR.

Ce reglementări aduce GDPR? Dreptul de a fi uitat și dreptul la portabilitatea datelor sunt printre principalele noi drepturi introduse ce vor impune prestatorilor de servicii să știe exact unde se află datele în sistemele lor și să ia măsuri privind ștergerea acestor date dacă este solicitat.

Nevoia de responsabil pentru protecția datelor GDPR mandatează ca toate organismele din sectorul public și cele implicate în monitorizarea sistematică și regulată a persoanelor vizate la scară largă sau în prelucrarea categoriilor speciale de date, vor trebui să angajeze un Responsabil cu Protecția Datelor (DPO).

Operatorii trebuie să implementeze măsuri tehnice și organizatorice adecvate în vederea asigurării unui nivel de securitate corespunzător acestui risc, incluzând printre altele, după caz:

  • pseudonimizarea și criptarea datelor
  • capacitatea de a asigura confidențialitatea,
  • integritatea, disponibilitatea și rezistența sistemelor și serviciilor de prelucrare;
  • capacitatea de a restabili disponibilitatea datelor și accesul la acestea în timp util în cazul unui incident de natură fizică sau tehnică;
  • un proces pentru testarea, evaluarea și aprecierea periodica a eficacității măsurilor tehnice și organizatorice pentru a garanta securitatea prelucrării

Efectele neaplicării Neaplicarea prevederilor GDPR coroborată cu apariția unor incidente de securitate de natură să afecteze datele cu caracter personal poate atrage pentru instituții amenzi însemnate de până la 20 de milioane de euro sau 4% din cifra de afaceri anuală globală (în funcție de impactul incidentului produs).

Termen de implementare Regulamentul intră in vigoare la data de 25 mai 2018, dată până la care toate entitățile vizate de către GDPR trebuie să pună în aplicare prevederile specifice.

Cum putem sprijini procesul de aliniere la GDPR?

Oferim întregul suport necesar înțelegerii în primă etapă a prevederilor GDPR, a modului în care acestea trebuie transpuse și, ulterior, prin evaluarea modului în care se realizează prelucrarea datelor în companie și identificarea punctelor slabe, respectiv, prin asistarea selectării și implementării măsurilor tehnice și operaționale în cadrul organizației.

Serviciile noastre de consultanță pentru alinierea la GDPR se concentrează în jurul următoarelor module principale:

  • Modulul 1 – Cursuri de introducere și instruire, al căror scop este acela de a prezenta organizației și personalului component cerințele GDPR și modalitatea în care aceste cerințe trebuie puse în aplicare.
  • Modulul 2 – Analiza gap, al cărei scop este realizarea unei evaluari asupra conformității organizației și a sistemului de controale implementat în prezent în raport cu cerințele tehnice și operaționale specifice GDPR în urma căreia se va elabora un plan de acțiuni detaliat pentru corectarea acestor diferențe și, implicit, alinierea organizației la GDPR.
  • Modulul 3 – Analiza modelului de date utiliza, în cadrul căreia se analizează în detaliu impactul GDPR asupra organizației prin identificarea și punerea în evidență a datelor cu caracter personal procesate de organizație. Ca parte a acestei analize, urmărim identificarea activităților, proceselor și fluxurilor operaționale care colectează, prelucrează și stochează datele cu caracter personal. La finalul acestei analize, vom putea contura o imagine asupra datelor cu caracter personal, a tipologiei acestora și a dispunerii lor în cadrul organizației pentru a asigura o implementare uniformă și eficientă a măsurilor tehnice și organizaționale ale GDPR.
  • Modulul 4 – Definirea politicii de prelucrare a datelor cu caracter personal. În cadrul acestei etape, avem în vedere elaborarea pe seama informațiilor colectate în etapele anterioare și a prevederilor GDPR, politica de prelucrare a datelor cu caracter personal în cadrul organizației.
  • Modulul 5 – Implementarea politicilor și procedurilor GDPR. Avem în vedere suportul pentru implementarea într-o manieră uniformă și eficientă a politicilor și procedurilor privind managementul datelor cu caracter personal în cadrul organizației pentru o corectă aliniere la cerințele GDPR.
  • Modulul 6 – Implementarea sistemelor IT de securitate necesare. Putem răspunde necesităților organizației cu privire la sistemele IT de securitate (de exemplu: sisteme de detecție și prevenție a intruziunilor, sisteme de prevenire a scurgerii datelor etc.) prin furnizarea și implementarea unor soluții IT eficiente și potrivite pentru dimensiunea și particularitățile organizației.
  • Modulul 7 – Asigurarea poziției de Responsabil cu Protecția Datelor. Asigurăm experți calificați cu competențe în domeniul protecției datelor pentru îndeplinirea rolului de Responsabil cu Protecția Datelor și execuția responsabilităților specifice în cadrul organizației.

Date de contact: Cosmin Măcăneață, Managing Partner,

 cosmin.macaneata@omega-trust.ro, 0722812812

 

Info World – „Ready” pentru implementarea GDPR în domeniul medical

Cu peste 17 ani de experiență exclusivă în domeniul eHealth, atât în plan naţional, cât şi  internaţional, compania Info World are ca misiune protecţia şi securitatea datelor medicale. Acest regulament european şi, implicit adoptarea lui, vin de fapt să confirme ceea ce noi avem deja implementat în produsele şi serviciile noastre dedicate zonei medicale. 

Pe scurt, GDPR îşi propune să ofere cetățenilor Uniunii Europene controlul asupra datelor lor personale, iar pentru îndeplinirea acestui scop enunță anumite principii, unele cu impact asupra sistemului medical. În primul rând, pentru datele colectate şi pentru scopul utilizării acestora trebuie să existe un consimțământ valid, explicit din partea cetățeanului. Există totuși o serie de excepții, cum ar fi furnizarea de îngrijiri medicale sau sociale, tratament în scopul protejării intereselor vitale ale persoanei vizate.

O noutate care va avea impact major asupra sistemului medical şi chiar asupra cetăţeanului este reprezentată de oferirea posibilităţii ca persoana vizată să îşi administreze singură dosarul medical. Apare astfel dreptul persoanei vizate de a-şi transfera datele sale personale dintr-un sistem electronic de procesare în altul, fără a fi împiedicat de operatorul de date să facă acest lucru. Datele furnizate de operatorul de date trebuie să fie într-un format electronic standard, deschis şi utilizat în mod obișnuit.

În ceea ce priveşte domeniul sănătăţii, cel căruia Info World îi este integral dedicat, articolul 15 defineşte faptul că pacientul are dreptul să obţină de la operatorul de date confirmarea că datele sale personale sunt prelucrate sau nu, şi după caz, accesul la datele personale, precum şi o copie a acestor date care fac obiectul unei prelucrări. În cazul în care persoana vizată depune cererea prin mijloace electronice şi nu solicită altfel, informaţiile pot fi furnizate într-o formă electronică utilizată în mod obişnuit, ceea ce înseamnă un fişier uzual, de tip PDF sau alt format de uz general. Acest aspect permite persoanelor fizice să obţină şi să reutilizeze datele lor personale şi medicale în diverse scopuri, cum ar fi: a doua opinie medicală, schimbarea furnizorilor de asistenţă medicală, păstrarea datelor intr-un sistem de tip dosar personal de sănătate. În acest mod, persoanele vizate pot să copieze sau să transfere cu uşurinţă informaţiile dintr-un sistem informatic în altul.

Portabilitatea datelor se aplică acelor date cu caracter personal referitoare la persoana vizată şi anume:

  • Sunt procesate automat – chiar dacă pacientul beneficiază de dreptul de a-şi accesa toate înregistrările medicale, portabilitatea datelor este limitată doar la datele colectate în format electronic;
  • Sunt furnizate de persoana vizată – informaţii funizate verbal sau scris de pacient şi/sau rezultatul examinărilor, analizelor de laborator, investigaţii imagistice, etc.;
  • Sunt procesate pe baza consimţământului persoanei vizate sau pentru executarea unui contract – există excepţii care pot scoate datele medicale de sub dreptul de portabilitate, dar ca principiu general, orice procesare sau schimb de date care necesită consimţământul pacientului intră sub incidenta dreptului de portabilitate a datelor.

Considerăm că dreptul la portabilitatea datelor va genera un impact major asupra întregii activităţi medicale şi în special eHealth. Operatorii de date vor trebui să garanteze că datele cu caracter personal sunt transmise într-un format electronic standard, deschis şi utilizat în mod obişnuit şi vor trebui să asigure interoperabilitatea formatului de date în cazul unei solicitări de portabilitate a datelor.

Nivelul de cooperare dintre industria de eHealth şi asociaţiile profesionale va creşte datorită necesităţii de a elabora împreună un set de standarde şi formate de interoperabilitate pentru a îndeplini cerinţele dreptului la portabilitatea datelor.

Din punct de vedere tehnic, punerea la dispoziţia persoanelor vizate a datelor cu caracter personal se va putea face fie printr-un mecanism de transmitere directă a setului global de date al persoanei vizate, fie prin utilizarea unui instrument automatizat de extragere a datelor relevante.

Costurile generate de implementarea modificărilor nu vor putea fi imputate persoanelor vizate şi nici nu vor putea fi folosite ca justificare a refuzului de a răspunde solicitărilor de portabilitate a datelor. Desigur că intrarea în vigoare a acestui regulament, începând cu 25 mai 2018, presupune o pregătire amplă a infrastructurii la nivel gurvernamental şi privat în ceea ce priveşte furnizorii de servicii şi produse în domeniul eHealth.

«Info World „ready” înseamnă foarte mult. Dincolo de Privacy by design & Privacy by default, de gradul înalt de conformitate cu toate prevederile regulamentului european, de securitatea datelor şi de garanţia unor servicii care să onoreze experienta şi reputaţia consolidată în peste 17 de ani de actitivitate, Info World „ready” înseamnă investiţii, inovaţie, dialog şi comunicare cu toţi factorii implicaţi în proces, reacţie rapidă şi garanţia serviciilor şi aplicaţiilor la cele mai înalte standarde.» – Daniel Nistor, CEO Info World

Articol publicat de compania Info World în Catalogul GDPR Ready, Octombrie 2017

There are three key areas cloud providers need to address the needs of GDPR

One of the most discussed problems concerning GDPR issues is associated with the Cloud providers action plan elements in order to achieve GDPR compliance. The critical elements are associated with personal data transparency, data security, physical location identification, physical servers storage, or international data transfers. Working for GDPR Ready Catalog content, I asked few experts in Cloud and GDPR to share with us their recommendations for Cloud services providers.

Here we have the valuable contribution of Ian Moyse, one of the most active Cloud specialist in social media, and recognised influencers in Cloud Computing social ecosystem:

Ian Moyse

Firstly, cloud providers need to take heed that they are now also on the hook for GDPR legal liability as a Data Processor. Data laws previously put the responsibility to the Data Controller (the customer), but this changes in GDPR.

Secondly, providers also need to ensure their own GDPR compliance as customers will expect and need supply chains of theirs to comply with GDPR in its fullest. This will be needed to ensure they are only sharing any data they hold with GDPR compliant partners and thus protecting their own GDPR processes and compliance.

Cloud providers will also need to become more transparent, as customers become even more diligent around data sovereignty, security, data storage and the controls and destruction of data they have responsibility for.

Thirdly, cloud providers are going to need to ensure their service offering itself, when used by a customer, allows the customer to remain compliant. For example, if your solution stores customer data in it, providing the ability to remove data in full for ‘Right to be Forgotten’ compliance.

You cannot get your product or service GDPR certified, but you can ensure that its use allows a customer to meet GDPR requirements and not hinder them.

Ian Moyse,

Sales Director Natterbox, Board Member Cloud Industry Forum

The Romanian version of this article was published in GDPR Ready Catalog, Bucharest, November 2017 

ANSSI implicată activ în conștientizarea și promovarea conformității GDPR

Asociația Națională pentru Securitatea Sistemelor Informatice (ANSSI) a fost înființată în anul 2012 ca un liant între sectorul public și mediul de afaceri, pentru promovarea practicilor de succes și facilitarea unei schimbări culturale în domeniul securității informației. Identificarea și sesizarea factorilor cu competențe administrative în cazul eventualelor deficiențe de pe piața IT, precum și pentru coagularea unor forme de parteneriat public-privat care să conducă la creșterea eficienței si operaționalității sistemelor informatice implementate în România au fost preocupări constante ale asociației.

ANSSI este o organizație neguvernamentală, nonprofit, profesională și independentă. Ea reunește 40 de membri, companii cu aproximativ 20000 de angajați, reprezentând 25% din totalul salariaților din industria privată de IT și comunicații. Membrii ANSSI, prin spectrul larg și diversitatea de capabilități tehnico-profesionale deținute, formează un grup reprezentativ la nivel sectorial, ale cărui teme de interes reflectă fidel preocupările generale ale domeniului.

ANSSI s-a implicat activ, organizând singur sau împreună cu alte autorități, instituții sau ambasade, conferințe și simpozioane naționale dar și internaționale, în domenii conexe, cum ar fi comunicațiile electronice, soluțiile și sistemele de e-guvernare și e-administrație, accesarea instrumentelor structurale, dezvoltarea profesională sau standardele ocupaționale, în care componenta de securitate tehnologică și de infrastructură IT au constituit preocuparea centrală.

Toma Cîmpeanu, CEO ANSSI

 

„În ultima perioadă ANSSI a avut o implicare activă în evenimentele și inițiativele legate de noul Regulament European de Protecție a Datelor Personale. Participarea la acest proiect de realizare a primului Catalog dedicat ofertelor GDPR din România prin materiale pregătite de câțiva dintre membrii noștri este un exemplu elocvent al implicării noastre în inițiativele comunității profesionale din România,” Toma Cîmpeanu, Director Executiv Asociația Națională pentru Securitatea Sistemelor Informatice.

 

 

În continuare prezentăm opiniile și recomandările făcute de câțiva dintre membrii ANSSI.

 Cât de pregătiți sunteți pentru RGPD?

de Diana Comanici

Sunteți operator de date/persoană împuternicită de operator care procesează date ale cetățenilor din UE? Aveți un program implementat pentru protecția datelor și puteți dovedi alinierea la cerințele RGPD? Integrați cerințele privind protecția datelor și a confidențialității în crearea proceselor de business noi sau în dezvoltarea de sisteme/ aplicații noi? Realizați o monitorizare sistematică pe scară largă (inclusiv a datelor angajaților)? Procesați volume mari de date personale sensibile?

Cum veți trata „dreptul de a fi uitat”, dreptul la portabilitatea datelor și dreptul de opoziție la crearea de profiluri ale persoanelor vizate? Sunteți în măsură să notificați ANSPDCP în cel mult 72 de ore de la producerea unei potențiale încălcări a securității datelor cu caracter personal?

Indiferent în ce stadiu vă aflați, există câțiva pași de urmat pentru conformitatea cu GDPR. Pentru a putea fi aliniați la cerințele GDPR este vital să identificați care sunt toate datele cu caracter personal pe care le procesați în cadrul organizației, unde se află acestea, de unde şi până unde circulă şi care sunt dispozitivele de Securitate care controlează/ filtrează accesul la aceste date, pe toata durata lor de viață. Ca principale etape în procesul de aliniere la RGPD vă recomandăm:

  • GDPR Quick Scan – este o evaluare rapidă/ workshop cu părțile cheie interesate de identificarea diferențelor fluxurilor principale, estimării de efort și durata de implementare;
  • Analiză – Evaluarea completa a conformității cu cerințele GDPR – este o evaluare detaliată a conformității și maturității;
  • Implementare – Implementarea Programului de Protecție a Datelor – este un program holistic pentru realizarea conformității cu GDPR.

Între activitățile principale ale acestor etape se numără și realizarea Evaluării Impactului asupra Securității Datelor (DPIA) si Inventarul Datelor cu Caracter Personal (un inventar al datelor si fluxurilor de date din cadrul organizației).

Diana COMANICI este Director Executiv la compania Smart Factor. diana.comanici@smartfactor.ro

 

GDPR o bună ocazie pentru eficientizarea activității, nu o presiune în plus

de Maria-Cristina Murgoci

25 mai 2018 este termenul-limită pentru intrarea în vigoare a noilor reglementări din Regulamentul General al Uniunii Europene cu privire la Protecția Datelor. În această perioadă premergătoare, companiile care știu să-și valorifice resursele și competențele, vor pune mai mult și mai pregnant accentul pe modalitățile de colectare, gestionare și asigurare a confidențialității pentru datele personale de pe platformele informatice deținute.

Dacă în trecut acest aspect a fost tratat cu superficialitate de către unele companii sau instituții, acum este momentul ca fiecare deținător de date cu caracter sensibil, de la mic la mare, să pună în funcțiune un mecanism intern de bună practică și conformitate cu reglementările GDPR. Practic, tot ceea ce nu s-a putut realiza din lipsă de informații, resurse sau termene-limită, are acum oportunitatea celor mai bune implementări, nu atât sub imperiul amenzilor ce se vehiculează în caz de non-conformitate, ci mai ales din dorința firească de a pune lupa pe limitări și de a găsi soluții salvatoare, de care să beneficieze întreaga organizație, nu doar departamentele care sunt direct implicate în operațiunile cu date ce au caracter sensibil.

Companiile care vor reuși să privească reglementările GDPR drept un prilej pentru eficientizarea activităților, nu doar ca pe o presiune în plus, se vor putea deschide și la întâmpinarea oportunităților care derivă din buna lor implementare. Într-adevăr sunt prevederi cu caracter obligatoriu, care presupun resurse și investiții bănești consistente. Însă, acestea vin și cu beneficii pentru mediul de afaceri, printre care amintim simplificarea și armonizarea la nivel juridic și administrativ a protecției datelor în Uniunea Europeană, precum și stimularea inovației pentru tehnologiile care asigură stocarea și protecția datelor.

Departe de a fi doar un proces costisitor, asigurarea conformității cu noile măsuri GDPR este o etapă esențială de creștere și inovație pentru companiile care pot fructifica la maximum era digitală de astăzi.

Maria-Cristina MURGOCI este Marketing Manager la compania Q-East Software. Prin soluțiile de management și Securitate a sistemelor informatice furnizate, experții Q-East Software asigură companiilor și instituțiilor competențele necesare unor implementări eficiente pentru procesele de conformitate cu reglementările GDPR.

Noul regulament va face companiile mai responsabile pentru datele din posesia lor

de Florin Răducu

Florin RĂDUCU, director SmartFeel Solutions

Informația a devenit accesibilă oricui. Vrei să o cauți pe Internet? E gratis… Vrei cont de e-mail? Gratis… Instant messaging? Gratis. Rețele de socializare? Gratis. Puține lucruri mai costă bani pe Internet. Și totuși companiile care oferă aceste servicii sunt printre cele mai bogate de pe pământ… Cum își fac banii? Cu noi sau, mai degrabă, cu datele noastre… E mai rentabil să colecteze și să furnizeze terților informații despre tine, decât să îți vândă servicii.

Multe companii au profitat de lejeritatea cu care ne oferim datele personale pentru a câștiga bani, cote de piață și a construi noi modele de business. Ne expunem viața din ce în ce mai mult online și asta ne face vulnerabili. Astăzi criminalitatea cibernetică crește cu 38% în fiecare an, devenind a 2-a cea mai răspândită infracțiune economică.

Noua legislație GDPR și, în special cuantumul amenzilor stabilite prin acest regulament vor face companiile să fie mai responsabile cu datele personale din posesia lor. Un milion de conturi hackuite nu vor mai reprezenta o simplă statistică, atât timp cât pierderea sau folosirea abuzivă a datelor unei singure persoane pot duce la închiderea businessului. Consecința: tehnologiile moderne de cyber security nu vor mai fi un „nice to have” ci un „must have”.

Statistic, se dezvoltă un milion de noi feluri de malware în fiecare zi. Astăzi, timpul mediu în care un malware stă nedetectat într-o organizație este de 201 zile. Totuși, cu tehnologii moderne de EDR îl putem detecta în câteva secunde. În acest context, apare necesitatea unei schimbări a mentalității în privința modalității de apărare la un atac cibernetic. Organizațiile vor fi nevoite să facă trecerea de la o apărare cibernetică statică – de așteptare, la una dinamică – de prevenție, cu soluții de cyber security și cyber threat intelligence care le vor spune dacă sunt vizate de hackeri, modul în care vor fi atacate, momentul și durata atacului.

Florin RĂDUCU este Director General în cadrul companiei SmartFeel Solutions ce oferă soluții de securitate cibernetică și cyber threat intelligence sub brandul Cyberus. florin.raducu@cyberus.ro

Aceste materiale au fost puse la dispoziție de ANSSI și partenerii săi pentru Catalogul GDPR Ready, aparut în Octombrie 2017.

Conferința de Cloud: haideți să vorbim despre adopție, dezvoltare, migrare, business continuity și GDPR

Suntem martorii unei dezvoltări fără precedent a industriei de Cloud. Utilizarea aplicațiilor SaaS și a platformelor de dezvoltare în Cloud au un rol tot mai determinant în revoluția digitală și transformarea proceselor de business de astăzi. Conform Forrester, piața globală de Cloud Public va ajunge în 2018 la peste 178 miliarde de dolari, cu o creștere anuală de peste 22%. Platformele de Cloud Public – segmentul cu cea mai rapidă creștere – vor genera în 2018 peste 44 miliarde de dolari.  Peste jumătate dintre marile companii vor adopta platforme de Cloud Public până la sfârșitul acestui an.

Și totuși mai există multe reticențe legate de adopția modelelor Cloud. Este Cloudul util? Cum putem migra la o platformă Cloud? Cum ne poate ajuta o arhitectură Cloud la protecția datelor personale în contextul adopției GDPR? Ce strategii de migrare să alegem? Cum putem administra rețelele virtuale și cum putem asigura continuitatea afacerii?

La aceste probleme puteți afla răspunsuri din sursele cele mai competente, participând la Conferința de Cloud, organizată de compania Avaelgo și partenerii săi pe data de 23 Noiembrie la Hotelul Pullman World Trade Center din București.  După cuvântările de deschidere, conferința se va desfășura în două secțiuni paralele, ce vor reuni 11 sesiuni tehnice și de business, susținute de 16 experți, dintre care 4 Microsoft Most Valuable Professionals (MVPs).

În sesiunea de business se va vorbi despre adopția accelerată a soluțiilor Cloud și monitorizarea consumului acestora, definirea strategiilor de migrare a soluțiilor și a organizațiilor în Azure, migrarea soluțiilor în Microsoft Azure cu Lift & Shift, Microsoft Azure ca și soluție pentru Disaster Recovery, precum și meridianele Cloud – Rețele virtuale și composite.

Cum adoptarea cadrului GDPR a devenit un subiect extrem de fierbinte, în special în industria de Cloud, conferința va avea două sesiuni dedicate acestui subiect: un Open Panel la care participă o serie de invitați speciali, precum și o prezentre PwC despre principalele provocări GDPR identificate în România.

Secțiunea tehnică va reuni o serie întreagă de prezentări ce abordează Soluțiile  arhitecturale de tip Azure IaaS și PaaS, facilitățile de automatizare a dezvoltării integrate de plarforma Azure, funcționalitățile Site Recovery & Backup oferte de Microsoft Azure, de ce și cum se face protecția datelor în Cloud, precum și ” To Cloud or not to Cloud?” – Un ghid practic pentru adoptarea noilor tehnologii de comunicații.

Inițiatorul și organizatorul acestei Conferințe este compania Avaelgo, certificată Microsoft Gold Cloud Platform, Silver Cloud Productivity și Silver Application Development. Avaelgo oferă servicii complete ce înclud strategii de adopție și migrare Cloud, Managed Services, Securitate IT și instruire. Partenerii Avaelgo la Conferința de Cloud sunt: Microsoft, Comparex, ALEF Distribution, PwC, Veeam, Yalos Solutions și AudioCodecs.  cloud☁mania – platformă de knowledge și servicii pentru Cloud și business transformation este partener media la această conferință.

  • Pentru informații complete despre eveniment, agendă și speakeri, consultați site-ul Conferinta de Cloud.
  • Pentru înregistrare la Conferința de Cloud faceți click AICI.

GDPR prefigurează un viitor în care informația devine critică pentru supraviețuirea noastră

Răzvan Savu, Consultant IDC Romania

 

 

Răzvan Savu, Consultant IDC Romania

Informații despre tine. Colectate, stocate și procesate în mod automat de către algoritmi din ce în ce mai sofisticați. Informații pe care nu știai că le oferi. Informații pe care nu le puteai bănui că există. Informații despre tine, în feluri în care nu te-ai privit niciodată.

 

Strategiile pe termen scurt și mediu ale companiilor impun un ritm de creștere anuală, indiferent de industria pe care o observăm. Într-o lume în care nevoile de bază vor fi satisfăcute, consumul poate crește doar până într-un anumit punct, după care nu-i mai rămâne decât să devină cvasi-constant. Construcția economică a viitorului nu are alte opțiuni.

Oamenii o să-și dorească în fiecare an noi dispozitive, haine sau mașini, dar nevoi care să determine piețe uriașe nu se văd la orizont. Creșterea nu o să mai poată interveni decât în spațiul personal, în cel al nevoilor individuale ale fiecăruia dintre noi. Scopul este crearea unei experiențe personalizate în care produsul întrupează însăși macheta dorințelor și nevoilor noastre. Pentru asta, companiile se bazează pe datele pe care le producem și care construiesc mai mult decât o amprentă digitală individuală. Companiile extrapolează tipuri de comportament și opiniile personale din interacțiunea noastră cu lumea digitală, ajutându-le să se apropie constant de motivația deciziilor de a cumpăra ceva.

Regulamentul General pentru Protecția Datelor cu Caracter Personal prefigurează un viitor în care informația devine critică pentru supraviețuirea noastră. Într-o societate marcată de atacuri cibernetice și teroriste, cu cât entitățile colectează și distribuie mai multe date despre oameni, cu atât expunerea potențială crește exponențial. Noul motor al economiei globale poartă un vector de risc colosal, cu efecte în percepție, economie și chiar în siguranța fizică a omenirii.

Fiecare capitol din GDPR a fost disecat în conferințe, studii și articole online. Frica, confuzia și incertitudinea domină în mare parte atât mesajele furnizorilor, cât și acțiunile celor ce au de implementat dispozițiile regulamentului. Procesul se va clarifica cel mai probabil după o perioadă de ajustare a pieței, care nu se poate produce înainte de termenul limită fatidic pomenit în toate comunicările pe acest subiect.

Noul Regulament nu va putea fi considerat implementat prin redactarea maculaturii de către departamentul de QA. Nu există un panaceu care să fie înghițit de către organizații și acestea să se preschimbe în entități „GDPR-ready”, „GDPR-compliant” sau măcar „GDPR-aware”. Soluția nu se găsește în tehnologie sau procese.

Noul Regulament vestește o schimbare fundamentală a modului în care ne desfășurăm afacerile și presupune, contra-intuitiv, o schimbare asumată la nivel individual de fiecare dintre noi, respectând rolul informației într-un ecosistem global. Noul regulament cere ca indiferent de mizele financiare, drepturile fundamentale ale omului să fie respectate. Noul regulament cere ca fiecare dintre cetățenii europeni să ne comportăm responsabil cu privire la informațiile cu caracter confidențial, fie că suntem consumatori sau furnizori de astfel de date. Noul regulament cere să acționăm principial, nu hazardat, când luăm decizii pentru viitorul societății noastre.

Făcând un pas în spate, GDPR face parte dintr-o suită de legi introduse de Uniunea Europeană și de Comisia Europeană pentru mijlocul anului 2018 care vor să aducă mai aproape de realitate o Europă unită prin diversitate. Oamenii, mărfurile și – cel mai important aspect economic într-o eră digitală – informația, vor circula liber între statele membre, accelerând procesul inovativ, fără a uita însă de siguranța europenilor.

Scopul este catapultarea „bătrânului continent” în vârful jucătorilor globali de tehnologie pe o piață dominată în prezent de Vest și Est, mizând pe furnizarea unui cadru legal, onest, transparent (lawfullness, fairness and transparency). Companiile și statele pot folosi această oportunitate pentru a găsi motive să se ridice împotriva birocrației europene excesive și impunerilor de legi. Totodată, aceleași companii și state pot recunoaște în GDPR o șansă de a crea servicii și produse pentru întreaga Europă, având posibilitatea reală de a accesa piețe de desfacere inaccesibile până atunci. Pot face asta pornind de la principiile unei deschideri sigure a datelor, diminuând semnificativ riscurile unei expuneri de securitate, care afectează în final poziția economică a Europei în contextul digital-global.

Puse în acest context mai larg, mișcările UE par să se înscrie într-o strategie pe termen lung a asigurării relevanței la nivel mondial într-un viitor economic preponderent tehnologic. Pășind într-o lume digitală, sunt puțini cei care au îndrăzneala bezmetică să declare cu certitudine ce ne așteaptă, la nivel de cetățeni, angajați sau simpli indivizi. Indiferent de cine vom fi în viitor, principiile pe baza cărora vom acționa încep să fie scrise astăzi, învățând din greșelile trecutului.

IDC este compania cu cea mai lungă tradiție în analiza piețelor de tehnologie (IT&C), fiind prezentă inclusiv pe piața din România de 15 ani. Din poziția de observatori și mediatori ai pieței de tehnologie, experții IDC au acumulat experiența ciclicității dinamicii IT&C, înțelegând aspectele esențiale care determină succesul proiectelor ce se află întotdeauna la limita dintre tehnică și omenesc. IDC ajută dintr-o perspectivă independentă de industrie companiile ce achiziționează IT&C, decelând aspectele fundamentale pentru direcția strategică într-un univers al informațiilor într-o continuă expansiune.

Articol publicat în Catalogul GDPR Ready, Octombrie 2017

Cum să alegi inteligent în noua lume a GDPR-ului

Acest articol a fost publicat de Star Storage în Catalogul GDPR Ready, Octombrie 2017

Conformitatea cu reglementările impuse de Regulamentul General privind Protecția Datelor (GDPR) adoptat la nivelul Uniunii Europene in aprilie 2016 şi aplicabil din mai 2018 trebuie să reprezinte mai mult decât o nouă căsuță de bifat. Implementarea corectă a sistemelor și a procese lor solicitate de GDPR va ajuta organizațiile să evite penalizări potențiale semnificative, de până la 4% din cifra de afaceri globală, dar va fi de asemenea și o oportunitate pentru creșterea eficienței întregii afaceri.

Cu toate că suntem asaltați de o cantitate imensă de conținut pe această temă lucrurile sunt pe departe de a fi clare și încă planează o stare de confuzie în ceea ce privește soluțiile care pot ajuta la respectarea reglementărilor destul de stricte ale GDPR.

10 întrebări pe care să le ai în vedere când îți alegi furnizorul soluției tale de GDPR

1.Care sunt principalele provocări pentru a construi o politică proprie de gestionare a informației conformă cu GDPR? Câteva dintre provocările cheie care trebuie luate în considerare sunt:

  • Afectarea performanței datorată creșterii volumului de informații (număr, mărime, retenție, tipurile de documente care trebuie administrate);
  • Conținutul nestructurat – care reprezintă mai mult de 70% din volumul total de informații;
  • Diferite formate și sisteme – informații utile stocate într-o multitudine de sisteme (ERP, CRM,
  • Document Management, aplicații de business etc.) și în formate diferite;
  • Dispersia geografică – informații utile și sensibile stocate în diverse locații fizice și logice.

2.Organizația ta și potențialul furnizor înțeleg importanța metadatelor? Adevărul este că nu există conținut nestructurat ci doar conținut fără metadate. iar fără metadate, conținutul este o aglomerație de „ceva nediferențiat” care așteaptă să fie administrat. Metadatele sunt cheia, iar principalele direcții vizează:

  • Implementarea schemelor de metadate – definirea aspectelor relevante pentru diferite obiective specifice ale organizației tale;
  • Transformarea conținutului nestructurat în conținut valoros – prin tehnologii precum OCR (recunoașterea optică a caracterelor), ICR (recunoașterea inteligentă a caracterelor), „speech-to-text” și alte tehnologii care adresează extragerea de conținut.

3.Cum poate asigura soluția răspunsul prompt și eficient la solicitările de acces la date (DSAR)? Gestionarea corectă a metadatelor permite identificarea datelor și facilitează identificarea informațiilor corecte și relevante de către ofițerul de conformitate a datelor. Ai nevoie de o soluție care să ofere căutare avansată bazată pe metadate (șabloane de căutare, subscripții la șabloane de căutare, conceptul de „search in search”). Dar metadatele nu sunt suficiente – o căutare completă în text trebuie să fie rulată de mai multe ori atunci când conținutul sau metadatele sunt ascunse în documentele nestructurate. Pe lângă funcționalitățile de căutare trebuie avută în vedere și modalitatea în care se face navigarea și afișarea informațiilor căutate astfel încât utilizatorul să ajungă cât mai ușor la conținutul potrivit.

4.Cum permiți partajarea conținutului securizat între clienți/ parteneri și consultanți externi? Menținerea unui echilibru între acces (necesitatea de a cunoaște) și protecție / conformitate nu este ușoară. Trebuie luat în considerare schimbul de informații în afara companiei fără a pierde controlul sau a modifica locația informațiilor, dar și partajarea în siguranță a informațiilor folosind autentificarea în 2 pași pentru utilizatorii externi. În contextul GDPR soluția trebuie să respecte reglementările cu privire la datele cu caracter personal (trimiterea automată a notificărilor, acces temporizat) și să ofere suplimentar o experiență plăcută de utilizare (fără să fie nevoie de intervenția personalului IT).

5.În ce măsură ofițerii de conformitate ai companiei tale au vizibilitate asupra volumelor mari de informații în contextul noului regulament GDPR, astfel încât să poată lua decizii rapide și eficiente? Un tablou centralizator al indicatorilor GDPR care să ofere vizibilitate asupra cantităților mari de date va ajuta cu siguranță ofițerul de date să vadă imaginea de ansamblu, dar și să detalieze anumite subiecte specifice (distribuirea documentelor în funcție de tipul de informație cu caracter personal, topul politicilor de conformitate necorespunzătoare, active neconforme clasificate in funcție de tipul acestora și alte activități și notificări legate de GDPR: retragerea acordului, solicitări de acces, solicitări de ștergere a datelor, consimțământ parental).

6.Care este experiența utilizatorilor si cum va fi afectat departamentul IT după implementarea unei soluții de GDPR? Multe implementări la nivel enterprise au dat greș nu din cauza lipsei rigorii tehnice ci mai degrabă din cauza unei experiențe insuficiente la nivelul utilizatorilor. O soluție cu o interfață puternică, dar simplă, va crește gradul de adopție a utilizatorilor, fără a compromite funcționalitățile dedicate utilizatorilor și va reduce în același timp gradul de încărcare al departamentului IT.

7.Cine poate accesa datele de business, în ce circumstanțe și cu ce drepturi de vizualizare? Este acest proces auditabil? Recomandarea este să protejați conținutul în funcție de ceea ce este (metadate asociate) și nu în funcție de unde este acesta stocat astfel încât să plecați de la început cu avantajul unei soluții construită pe principiul „Privacy by Design”. Și în această situație metadatele stau la baza construirii politicilor dinamice de securitate care pot fi ușor definite și aplicate de către utilizatorii obișnuiți, fără intervenția personalului IT. Întreabă de asemenea dacă este complet auditabilă fiecare modificare asupra conținutului și meta datelor asociate pentru asigurarea conformității cu GDPR.

8.Cum se poate demonstra că o persoana și-a dat consimțământul asupra prelucrării datelor sale personale? O posibilă abordare este o soluție care sa permită managementul consimțământului cu ajutorul semnăturii biometrice (semnătura avansată) într-o manieră lizibilă / inteligibilă. Aceasta oferă o dovadă sigură, fiind legată în mod unic de semnatar și implicit de datele acestuia, astfel încât orice schimbare ulterioară a datelor este detectabilă.

9.Cum asigură soluția „dreptul de a fi uitat”? O mare parte din respectarea acestei cerințe se referă la politicile de păstrare a documentelor care pot fi aplicate conform nomenclatorului arhivistic, categoriei de conținut (bazat pe metadate) sau politicilor de distrugere a conținutului pe mai multe etape atunci când perioada de retenție expiră. Întreabă cum se face auditarea termenelor expirate pentru documentele care conțin date cu caracter personal și trimiterea notificărilor asociate excepțiilor, dacă soluția are funcționalități pentru criptarea metadatelor asociate datelor cu caracter personal și setări pentru distrugerea digitală a documentelor care conțin date cu caracter personal.

10.Unde trebuie instalată soluția GDPR? Un element cheie aici este păstrarea flexibilității la un nivel maxim pe măsură ce tehnologia se schimbă. Se poate folosi hardware-ul existent? Dacă alegi, poți să beneficiezi de puterea și scalabilitatea cloud-ului public? Este soluția la fel de ușor de folosit pe medii hybride, on-premise și cloud?

Ce este SEAL?

SEAL este un sistem integrat pentru administrarea unificată a arhivelor fizice și electronice care ajută companiile să protejeze, reutilizeze și partajeze în siguranță tot conținutul de afaceri, respectând normele legale și noile reglementări GDPR. Construit pentru era digitală, în care cloud-ul și mobilitatea reprezintă concepte cheie, SEAL redefinește experiența de utili zare printr-o interfață intuitivă și puternică disponibilă inclusiv pe iOS și Android pentru un nou nivel de productivitate.

 Mai multe detalii: http://www.seal-online.com


 

Ghiduri de bune practici GDPR puse la dispoziție de ANSPDCP

Acest articol a  fost publicat în Catalogul GDPR Ready, Octombrie 2017.

Autoritatea națională de supraveghere este o autoritate publică cu personalitate juridică, autonomă şi independentă față de orice alte autoritate a administrației publice, ca şi față de orice persoană fizică sau juridică din domeniul privat, care exercită atribuțiile ce îi sunt date în competență prin dispozițiile legale din domeniul prelucrării datelor cu caracter personal şi al liberei circulații a acestor date.

Atribuția principală a Autorității este aceea de garantare şi protejare a drepturilor şi libertăților fundamentale ale persoanelor fizice, în special a dreptului la viață intimă, familială şi privată, cu privire la prelucrarea datelor cu caracter personal. Autoritatea monitorizează şi controlează sub aspectul legalității prelucrările de date cu caracter personal care cad sub incidența Legii nr. 677/2001.

Pe site-ul Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal, în cadrul secțiunii speciale dedicată RGPD, poate fi găsit un important volum de informații dedicate Regulamentului 2016/679, precum pliante, broșuri și ghiduri ale Grupului de Lucru Art. 29. Informații complete pe site-ul oficial al ANSPDCP

Ghid privind Responsabilul cu protecția datelor (DPO)

Acest ghid are menirea de a oferi tuturor operatorilor informațiile cele mai pertinente privind necesitatea numirii unui responsabil cu protecția datelor (DPO – Data Protection Officer), precum și principalele atribuții ale acestora. Ghidul a fost publicat în decembrie 2016 și a fost revizuit și adoptat în aprilie 2017.

Potrivit Regulamentului General de Protecție a Datelor (RGPD), este obligatoriu ca anumiți operatori și persoane împuternicite de operatori să desemneze un DPO. Aceasta va fi situația pentru toate autoritățile și organismele publice (indiferent de tipul datelor prelucrate) și pentru celelalte organizații care au ca activitate principală monitorizarea sistematică și pe scară largă a persoanelor fizice sau prelucrează categorii speciale de date cu caracter personal pe scară largă. Chiar și în situația în care RGPD nu impune în mod expres numirea unui DPO, organizațiile pot opta pentru desemnarea unui DPO în mod voluntar.

Cu toate că Directiva 95/46/CE3 nu impune niciunei organizații să numească un DPO, această practică de numire a unui DPO s-a dezvoltat, de-a lungul anilor, în mai multe state membre. Anterior adoptării RGPD, grupul de lucru Articolul 29 a susținut că DPO reprezintă un punct important al responsabilității și că numirea unui DPO poate facilita respectarea și, în plus, poate reprezenta un avantaj competitiv pentru companii.

Pe lângă facilitarea respectării prin punerea în aplicare a instrumentelor de responsabilitate (cum ar fi facilitarea evaluărilor impactului asupra protecției datelor și efectuarea sau facilitarea auditurilor), DPO acționează ca intermediar între părțile interesate relevante (de exemplu autoritățile de supraveghere, persoanele vizate și liniile de business din cadrul unei organizații).

Este important de știut că DPO nu este personal responsabil în caz de nerespectare a RGPD. Regulamentul spune clar că responsabil este operatorul sau persoana împuternicită de operator care trebuie să se asigure și să fie în măsură să demonstreze că prelucrarea este efectuată în conformitate cu dispozițiile sale (Articolul 24, Alineat 1). Respectarea normelor de protecție a datelor reprezintă responsabilitatea operatorului sau a persoanei împuternicite de operator. Operatorul sau persoana împuternicită de operator are de asemenea un rol crucial în a permite îndeplinirea eficientă a atribuțiilor DPO. Numirea unui DPO reprezintă un prim pas, dar trebuie să se asigure că DPO are autonomie și resurse suficiente pentru îndeplinirea sarcinilor într-un mod eficient.

Ghidul orientativ de aplicare a Regulamentului General privind Protecția Datelor destinat operatorilor

Lansat în septembrie 2017, acest Ghid este destinat să constituie un instrument util în activitatea tuturor operatorilor, pentru accelerarea eforturilor acestora de a atinge cele mai optime nivele de conformitate cu prevederile Regulamentului (UE) 2016/679 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date.

Structura Ghidului orientativ de aplicare GDPR se axează pe prezentarea principalelor obligații care le revin operatorilor în contextual noului Regulament. Dintre aceste obligații se detașează:

  • Desemnarea unui responsabil cu protecția datelor
  • Rolul responsabilului cu protecția datelor
  • Cartografierea prelucrărilor de date cu caracter personal
  • Ce trebuie să conțină evidenta păstrată de operator
  • Prioritizarea acțiunilor de întreprins
  • Care sunt măsurile speciale de care trebuie să se țină cont
  • Gestionarea riscurilor
  • Organizarea procedurilor interne

Ca recomandare generală, Ghidul orientativ sugerează realizarea unei analize aprofundate a legislației privind protecția datelor și a cerințelor impuse de Regulamentul General privind Protecția Datelor, pentru a stabili măsurile care trebuie aplicate la nivelul fiecărui operator, în funcție de sectorul de activitate și specificul prelucrării/prelucrărilor efectuate.

În condițiile în care acest act normativ european aduce multiple elemente de noutate în peisajul juridic românesc și instituie noi obligații în sarcina operatorilor de date și/sau persoanelor împuternicite de operatori Autoritatea speră ca și acest ghid, împreună cu toate celelalte materiale informative postate pe site-ul Autorității Naționale de Supraveghere, să ajute operatorii în eforturile de conformare cu noile reguli de prelucrare a datelor personale.

GDPR: afectarea securității datelor cu caracter personal din perspectiva securității informatice

Articolul este realizat de specialiștii CERT.RO  și a  fost publicat în Catalogul GDPR Ready, Octombrie 2017. 

 

Conform Regulamentului, „încălcarea securității datelor cu caracter personal” înseamnă o încălcare a securității care duce, în mod accidental sau ilegal, la distrugerea, pierderea, modificarea, sau divulgarea neautorizată a datelor cu caracter personal transmise, stocate sau prelucrate într-un alt mod, sau la accesul neautorizat la acestea.

Regulamentul prevede la articolele 33 și 34 obligativitatea notificării încălcărilor securității datelor cu caracter personal către Autoritatea Națională de Supraveghere precum și direct către persoanele vizate ale căror date au fost compromise în anumite condiții, astfel:

  • Notificarea Autorității se face în cel mult 72 de ore conform Art. 33 și este obligatorie atunci când încălcările prezintă riscul de a pune în pericol drepturile și libertățile persoanelor putând duce la discriminarea, prejudicierea reputației, pierderi financiare, compromiterea confidențialității sau orice alt dezavantaj economic sau social semnificativ.
  • Notificarea trebuie să cuprindă: o descriere a încălcării, inclusiv categoriile și numărul aproximativ de persoane vizate acolo unde este posibil, categoriile de înregistrări și numărul acestora. La aceasta se adaugă descrierea consecințelor probabile ale încălcării și măsurile luate pentru a remedia situația și a atenua consecințele încălcării.
  • La acestea se adaugă datele de contact ale responsabilului cu protecția datelor sau alt punct de contact pentru mai multe informații.
  • Notificarea persoanei vizate se face conform Art. 34, fiind obligatorie în cazul în care încălcarea prezintă un risc ridicat pentru drepturile și libertățile persoanelor vizate. Informarea va conține descrierea încălcării într-un limbaj simplu precum și informațiile și măsurile de la Art. 33.
  • Termenul de notificare a autorității este de 72 de ore.

Pentru a putea realiza notificarea în termenul specificat este necesar ca operatorul să inventarieze, să organizeze și să cunoască categoriile de date colectate, sistemele în care acestea sunt stocate și prelucrate, circuitul datelor și persoanele care au acces. Aceasta presupune atât măsuri de inventariere cât și proiectarea sistemelor, a rețelelor și a accesului astfel încât informațiile relevante să fie rapid identificate în caz de încălcare, în vederea alcătuirii notificării și luării de măsuri în consecință.

Ce fel de încălcări ale securității datelor avem în vedere?

Principalele tipuri de încălcări ale securității datelor sunt:

  • publicarea în mod accidental;
  • erorile de configurare a sistemelor ce poate duce la scurgeri de informații;
  • pierderea sau furtul sistemelor sau a mediilor de stocare a datelor;
  • securizarea slabă;
  • infecții cu programe de tip malware;
  • atacuri fizice.

În România, conform raportului CERT-RO pe anul 2016 au rezultat următoarele date relevante cu privire la securitatea spațiului cibernetic național:

  • s-au primit și procesat peste 110 milioane de alerte;
  • 38% (2,9 milioane) dintre adresele IP publice din România au înregistrat cel puțin o alertă;
  • 81% (89 milioane) dintre alerte se referă la sisteme sau servicii vulnerabile;
  • 13% (14 milioane) dintre alerte se referă la sisteme infectate cu malware de tip botnet;
  • 639 de domenii web „.RO” au fost utilizate de site-uri web compromise.

Cum putem proteja datele cu caracter personal procesate?

Sub aspectul protejării datelor în format digital, deși percepția comună referitoare la obligațiile impuse de Regulament este cea a unor cerințe și obligații noi, în realitate măsurile necesare sunt cele standard din domeniul asigurării securității informatice.

Astfel, operatorul care are în vedere asigurarea securității rețelelor și sistemelor sale conform standardelor existente și adaptarea măsurilor proporțional cu amenințările, va îndeplini din start cerințele GDPR cu privire la datele cu caracter personal aflate în sistemele sale, soluțiile tehnice și politicile de securitate necesare celor două domenii coincizând în mare parte.

În vederea adoptării măsurilor necesare prevenirii încălcării siguranței datelor, din perspectiva securității cibernetice, trebuie avute în vedere o serie de recomandări practice, precum cele prezentate în rândurile următoare.

Măsuri de prevenire a incidentelor de securitate:

  • Securizarea terminalelor (stații de lucru, telefoane, tablete etc.) prin utilizarea unor soluții/tehnologii de tip antivirus/antimalware, DLP, sandbox și de criptare a datelor, inclusiv pentru terminalele care sunt proprietatea utilizatorilor (BYOD);
  • Securizarea infrastructurii de rețea prin segmentare adecvată (VLAN) și prin utilizarea unor soluții/tehnologii de protecție perimetrală precum cele de tip NGFW (Next Generation Firewall);
  • Asigurarea unei vizibilități adecvate în cadrul infrastructurii IT prin utilizarea unor soluții/tehnologii de monitorizare precum cele de tip SIEM (Security Information and Event Management);
  • Implementarea unor măsuri adecvate de securitate fizică, mai cu seamă în spațiile unde sunt procesate sau depozitate cantități mari de date;
  • Acordarea accesului diferențiat al utilizatorilor la resurse și la date în baza atribuțiilor acestora (principiul nevoia de a cunoaște);
  • Implementarea unei proceduri adecvate de backup (copii de siguranță) care să includă și verificarea periodică a integrității datelor și a procesului de restaurare;
  • Implementarea unei politici de securitate care să fie asumată și respectată de toți utilizatorii;
  • Utilizarea unor proceduri de răspuns la incidentele de securitate și de gestionare a vulnerabilităților;
  • Dispunerea de personal adecvat pentru securizarea infrastructurii IT și pentru a răspunde la incidentele de securitate;
  • Instruirea periodică a personalului cu privire la riscurile, amenințările și vulnerabilitățile de securitate, precum și cu privire la măsurile de contracarare a acestora;
  • Realizarea de audituri/evaluări periodice de securitate a infrastructurii IT, a personalului și a procedurilor.

GDPR deschide mari oportunități în distribuția IT

Alinierea la GDPR vine cu multe teme de îngrijorare pentru companiile dintr-un ecosistem de distribuție, dar și cu un imens potențial de vânzare a soluțiilor din portofoliu. Noul Regulament european privitor la protecția datelor poate avea un efect de bumerang. A apărut din nevoia de aliniere a drepturilor cetățeanului european la evoluția tehnologică a mijloacelor de recoltare, comunicare, procesare și stocare a datelor personale.

Deși cauza poate fi privită ca tehnologică prin excelență, punerea în aplicare a GDPR este un proces esențialmente de business, care prin implicații poate fi asimilat cu un mare pas înainte în procesul ireversibil de transformare digitală. Poate avea tandemul business-tehnologie un rol de perpetuum mobile? Cu siguranță, atâta timp cât în centrul oricărei politici de dezvoltare stă individul și drepturile sale fundamentale.

Keep Calm and Prepare for GDPR

Nu vă pierdeți cu firea. Totul trebuie privit cu optimism. Pentru o companie IT orice procedură și demers de obținere a unui nivel de confort echivalent cu conformitatea noului Regulament nu ar trebi să fie o problemă. La urma urmelor, implementarea GDPR este un proces de project management, similar cu procedurile de obținere a conformității cu diferite standarde.

Avantajul imens oferit de aderarea la GDPR reprezintă o uriașa oportunitate pentru companiile din IT. Demonstrați clienților că sunteți GDPR Ready și veți câștiga în fața concurenței. Ajutați clienții să își rezolve gap-urile tehnologice recomandându-le soluțiile voastre. GDPR vă facilitează accesul la o imensă piață. Deveniți partenerii clienților voștri și veți avea șansa  să vă promovați soluțiile din portofoliu.

Canalul de distribuție ca ecosistem de informații

Tipologia ecosistemului ce caracterizează o rețea de distribuție e foarte complexă: distribuitori, wholeselleri, reselleri, VAR-i, integratori de sistem, firme de servicii și consultanță, retaileri, showroom-uri, magazine online, precum și o complicată subrețea de furnizori de servicii de logistică, depozite, curierat, transporturi, case de credite și de asigurări, și altele. Și nu în cele din urmă, clienții.

Să luăm de exemplu un distribuitor de dimensiuni medii, care are contracte teritoriale de distribuție pentru 15-20 de branduri, cu proveniență din diferite zone ale lumii. Într-un proces clasic de distribuție rolul unui astfel de distribuitor este cel de procesator – sau intermediar, verigă într-un flux de date care vine dinspre cei care lucrează direct cu utilizatorul final, și merge către un vendor, care în majoritatea cazurilor are și rolul de operator de date.

Colectarea datelor personale este paralelă cu procesul de vânzare, multe dintre soluțiile distribuite având asociată obligativitatea furnizării de date despre utilizatorul final, fie elemente de identificare asociate cu licențele software perpetue, fie identificatori de logare – în cazul soluțiilor Cloud, fie date asociate documentelor de garanție și mentenanță specifice echipamentelor hardware.

Din punctul de vedere al atribuțiilor  GDPR, un distribuitor este în marea majoritate a cazurilor procesator de date, cu subordonare de business în relație cu vendorii, care au rolul de operatori. Păstrând această perspectivă, un reseller va avea întotdeauna o poziție de sub-procesator față de fiecare dintre distribuitorii cu care lucrează. De multe ori vendorii nu sunt nici ei beneficiari direcți ai datelor personale, având tot o poziționare de procesator în relațiile de distribuție cu alte entități.

Pe de altă parte, apare des situația în care un distribuitor sau un reseller poate fi chiar el operator de date. Să ne gândim doar la departamentele de resurse umane care gestionează relațiile cu angajații sau la cele de marketing, unde sunt generate campanii direct către clienții finali sau către rețelele de parteneri.

5 oportunități oferite de GDPR pentru canalele de distribuție

Iată câteva idei care ar trebui să stea la baza unei strategii de ofertare a celor mai adecvate soluții de aliniere la conformitatea GDPR:

Piața – un sondaj recent arată că 69% dintre companiile europene  nu numai că vor investi în tehnologii de securitate ca rezultat al GDPR, ci și în domenii precum partajarea, stocarea, arhivarea sau recuperarea datelor. Estimările IDC indică o oportunitate de piață de 3,5 miliarde de dolari pentru furnizorii de securitate și stocare și pentru partenerii lor.

Tehnologia – GDPR nu prescrie tehnologii de protecție a datelor – precum un anumit algoritm de criptare, de exemplu – și, prin urmare, nu le exclude automat pe altele. În schimb, se fac recomandări și se prescriu procese, ceea ce oferă mai multă libertate de a alege dintr-o paletă de soluții provenite de la o varietate de furnizori.

Depozite comune de date – nevoia de operativitate și eliminarea duplicatelor ridică oportunitatea consolidării unor depozite comune, unice de date, la care să aibă acces pe bază de protocoale securizate toți jucătorii din sistem, inclusiv posesorii datelor personale.

Marketing și PR – devine vitală pentru creșterea gradului de conștientizare a reglementărilor. Resellerii proactivi se pot adresa clienților înainte de termenul limită, prezentându-le riscurile  și promovându-și propria compatibilitate.

Încrederea  – demonstrați-vă vitalitatea GDPR și veți câștiga în primul rând încrederea clienților. Ajutații să înțeleagă că orice investiție în tehnologie nu îi va ajuta doar la reducerea riscului de, dar și să își asigure continuitatea în business.

Intrarea în vigoare a noului Regulament european poate fi o mare oportunitate pentru companiile din IT. Demonstrați clienților că sunteți GDPR Ready și veți câștiga în fața concurenței. Ajutați clienții să își rezolve handicapurile operaționale și tehnologice recomandându-le soluțiile voastre. GDPR vă facilitează accesul la o imensă piață. Deveniți partenerii clienților voștri și veți avea șansa  să vă promovați soluțiile din portofoliu.

Cum pot obține certificarea DPO în România?

International Association of Privacy Professionals (IAPP) estimează un necesar de peste 75.000 de ofițeri pentru protecția datelor în întreaga Europă – înt-o apreciere inițială cifra era de 28.000). Chiar și așa, privind cu luciditate, această cifră pare mult subdimensionată față de nevoile reale din toate țările membre și din toate industriile.

Victimă sigură sau super-erou?

Una dintre marile noutăți cu care vine GDPR este necesitatea stabilirii unui ofițer cu protecția datelor personale, care să joace rolul de intermediar între organizație și autoritatea de supraveghere. Regulamentul stipulează destul de clar în articolele 37 – 39 când trebuie ales, care este rolul și ce îndatoriri are un DPO. Puteți citi despre toate acestea pe larg în recentul meu articol ” GDPR Explicitat (11) : Un personaj important – Data Protection Officer (DPO)”.  Mai mult de atât, Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) a postat pe site-ul sau în versiunea românească ”Ghidul privind Responsabilul cu protecția datelor (DPO)” care conține recomandări valoroase ale grupului de lucru Articolul 29.

Există deja destule surse de informare legate de condițiile în care trebuie să numim un DPO și cam ce ar trebui să facă un astfel de personaj care va avea un o poziție distinctă în schema oricărei organizații. Cu toate aceste, continuă să existe o serie de incertitudini legate de diferite aspecte. De exemplu, într-o versiune inițială GDPR menționa că orice companie care are peste 250 de angajați e obligată să numească un DPO. Ulterior s-a renunțat la această delimitare și au rămas în vigoare cele trei situații clare în care suntem obligați să numim un DPO.

În conformitate cu Articolul 37, Aliniat 1 din GDPR, trebuie să desemnăm un ofițer de protecție a datelor (DPO) dacă:

  • suntem o autoritate publică (cu excepția instanțelor care acționează în calitatea lor judiciară);
  • efectuăm o monitorizare sistematică, la scară largă, a persoanelor (de exemplu, urmărirea comportamentului online);
  • facem o prelucrare la scară largă a unor categorii speciale de date sau date referitoare la condamnările penale și infracțiuni.

În rest, rămâne la latitudinea noastră dacă vom aloca sau nu o astfel de poziție, chiar dacă avem o microîntreprindere cu 2 angajați… Recomandarea grupului de lucru Articolul 29 este totuși ca în funcție de complexitatea și riscurile asociate activităților de prelucrare a datelor cu caracter personal să fie numit un DPO care poate coordona activitățile de mapare a fluxurilor de date, poate realiza o evaluare de impact sau poate administra analizele de risc.

Alte neclarități sunt legate de statutul oarecum special de subordonare în schema unei organizații, precum și de condițiile în care un DPO poate fi tras la răspundere. De aici și pozițiile oarecum extreme de victimă sigură a autorităților de supraveghere sau de super-erou, care cu vitejia sa poate apăra compania de orice amenințare. În fine, alte discuții controversate se referă la pregătirea optimă a unui DPO și din ce departament ar trebui recrutat: HR, legal, operațional sau IT? Și aici există o multitudine de recomandări ce oferă o plajă largă de soluții, precum constituirea unui grup de acțiune cu reprezentanți ai tuturor departamentelor implicate care să susțină în permanență – și la o adică să poată să suplinească, rolul unui DPO. La limita extremă este apelarea la serviciile unui DPO super-specializat, care eventual poate consilia mai multe organizații, la limita conflictului de interese. Și aici fiecare poate să aleagă soluția cea mai convenabilă.

Dacă ne uităm însă la recomandările organismelor de certificare cu recunoaștere internațională precum IAPP sau PECB vom vedea că pentru acordarea unei diplome de Certified Data Protection Officer este nevoie de o experiență de minim 2-3 ani în protecția datelor personale. De aici reiese că un candidat serios la poziția de DPO trebuie să fi avut un rol cu certe competențe tehnologice și operaționale, oameni cu experiență în project management, data quality, baze de date, managementul riscurilor, securitatea sau protecția datelor. Diferitele statistici arată că în prezent e nevoie de cel puțin 25-30 de ore de instruire doar pentru a obține o înțelegere coerentă a problematicii GDPR, și de ceva mai mult timp pentru pregătirea poziției de DPO.

Unde ne certificăm ofițerii pentru protecția datelor? O soluție este programul de cursuri RQM Cert

Iată-ne ajunși la un alt punct de răscruce în eforturile noastre pentru conformitate. Am identificat cel mai potrivit om din organizație care ne poate reprezenta în fața autorităților, dar cum îl instruim? Unde găsim cursuri de certificare pentru poziția de DPO? Dacă veți citi Catalogul GDPR Ready publicat recent, veți găsi mai multe programe de instruire disponibile la ora aceasta la noi în țară.

La evenimentul Noua ordine europeană pentru protecția datelor personale organizat de agenția Concord Communication în 12 octombrie și având ca partener principal casa de avocatură Mușat & Asociații, a participat și compania RQM Certification, partener PECB pentru România, care a oferit o prezentare a serviciilor de pregătire profesională pentru poziția de Certified Data Protection Officer.

Programul de instruire oferit de RQM Certification este acreditat de PECB, organizație cu sediul în Canada recunoscută internațional pentru competențele și expertiza în implementările standardelor ISO. PECB este un organism de certificare pentru persoane, sisteme de management și produse, pentru o gamă largă de standarde internaționale. Ca furnizor global de servicii de instruire, examinare, audit și certificare, PECB oferă expertiza sa în mai multe domenii precum securitatea informației, IT, continuitatea afacerii, managementul serviciilor, sistemele de management al calității sau managementul riscului. Prin parteneriatul cu PECB, compania RQM Cert poate asigura în România obținerea certificărilor pentru standardele ISO 9001, ISO/TS 16949, ISO 31000, ISO 14001 și ISO 27001.

Certificarea DPO oferită de RQM permite specialiștilor desemnați să dobândească expertiza necesară pentru a înțelege riscurile care ar putea avea un impact negativ asupra organizației, oferindu-le cunoștințele esențiale pentru a implementa strategia necesară, pe baza celor mai bune practici, cerințe și principii GDPR. Cursurile Certified Data Protection Officer  organizate de RQM Cert sunt eșalonate pe o durată de 5 zile lucrătoare și sunt structurate în 25 de secțiuni ce acoperă o largă paletă de probleme, de la elementele de bază conținute de GDPR, la analiza nivelului de pregătire, implementarea și complianța, la obținerea și mai ales păstrarea nivelului de conformitate necesar pentru evitarea oricărui risc și continuitatea în business.

Dacă sunteți interesați de mai multe detalii legate de oferta de cursuri DPO, completați formularul de mai jos.     

GDPR: un angajament pe termen lung

 

Ing. Lucia ȘREFAN

 

 

Ing. LUCIA ȘTEFAN, MSc Information Systems, Data Protection Officer Certified (Maastricht University, 2017).

Director/Consultant al companiei Archiva Ltd. din Marea Britanie.

 

Date de contact:

Email: datapro.archiva@btinternet.com

LinkedIn: https://uk.linkedin.com/in/luciastefan

Din momentul în care Regulamentul General privind Protecția Datelor (GDPR) a fost publicat, au apărut tot felul de interpretări privind înțelegerea și aplicarea acestui regulament. Un curent care și astăzi este destul de puternic afirmă că întregul GDPR nu constă decât în securizarea datelor personale și conformitatea cu ISO 27001.

Alții afirmă că este o chestiune de interpretare legală și doar un jurist poate interpreta corect prevederile Regulamentului. Cei din zona administrării de date (Data Management), spun că e suficient să inventariezi datele din sisteme informatice și să iei masuri de remediere acolo unde trebuie pentru a fi conform cu GDPR. În sfârșit, o altă categorie afirmă că datele personale trebuie gestionate dinamic în timp, comparabil cu un ciclu de viață care începe prin capturarea acestor date și se termină prin ștergerea lor definitivă (dispariția lor) din sistem.

În realitate, toate opiniile de mai sus sunt corecte, în sensul că administrarea și controlul datelor personale într-o organizație este foarte complexă, fiind obiectul muncii unei întregi echipe, în care avem juriști, specialiști în securizarea informației (InfoSec), specialiști din managementul informației digitale, al conformității (compliance), al riscului, al gestionării și arhivării informației. Cu cât arhitectura sistemelor informatice este mai complexa, cu atât este mai multă nevoie, nu de omul-orchestra, ci de o întreagă echipă, cu competențe multiple!

Organizațiile, care prin natura afacerii lor trebuie să se conformeze GDPR, au nu numai obligația atingerii acestui obiectiv dar și pe aceea a menținerii conformității pe toata durata existenței organizației. Cu alte cuvinte, atingerea standardelor RGPD în materie de informații personale nu este suficientă, conformitatea trebuie menținută și gestionată pe termen lung. Atingerea conformității nu este un efort care, odată făcut, îți permite să te relaxezi după aceea. GDPR impune ca organizația să poată demonstra, prin dovezile obținute și păstrate, că este conformă în orice moment cu prevederile Regulamentului. Administrarea pe termen lung a prevederilor GDPR este la fel importantă ca obținerea conformității la data de 25 Mai 2018.

 

Acest articol a fost publicat în secțiunea ”Ce ne recomandă experții”, din cadrul ”Ghidului de bune practici” din Catalogul GDPR Ready. 

Ce au în comun domeniile Cloud, Big Data și GDPR?   

 

 

Atât domeniul Cloud, cât și cel al Big Data sunt esențiale pentru transformarea pe care segmentul tehnologiei informației îl parcurge în prezent și sunt adeseori considerate subiecte conexe, însă cum rămâne cu noile Reglementări ale Uniunii Europene privind protecția generală a datelor ( GDPR)?

O presiune enormă pe politicile de date

Este adevărat că domeniile Cloud, Big Data și Regulamentul General privind Protecția Datelor (GDPR), luate împreună, pun o presiune enormă asupra provocărilor ridicate politicilor aferente datelor. Atât de mult, încât multor organizații le va fi foarte greu să le facă față în timp ce duc inițiativele legate de Cloud, Big Data și GPRD din faza de testare în cea de producție.

Să luăm un exemplu simplu pentru fiecare domeniu în parte. Datele din Cloud trebuie adesea ținute într-o anumită țară; anumite elemente de Big Data trebuie să fie anonimizate înainte de a fi procesate, iar politica GPRD cere ca utilizatorilor să li se spună pentru ce le sunt reținute datele (printre alte cerințe de confidențialitate). Acum imaginați-vă o listă de articole cu sute de astfel de cerințe, determinate fie de reglementări, fie de reguli de guvernare corporativă și care să cuprindă aspecte legate de intimitate, securitate, anonimitate, responsabilitate, fiabilitate și supraveghere guvernamentală. Acestea ne conferă dimensiunea problemei cu care ne confruntăm.

Dacă dorim să ne asigurăm că politicile aferente fiecăruia din aceste aspecte se află sub un control adecvat și pot fi duse la îndeplinire, atunci avem nevoie de o bază solidă de gestionare a datelor. Aceasta va trebui să includă gestionarea păstrării, expirării, dispunerii, separării și localizării datelor.

În timp ce organizațiile aliniază practicile de management al datelor cu cerințele de gestionare a afacerii și demonstrează că respectă politicile, acestea trebuie, de asemenea, să păstreze integritatea datelor și să controleze costul și complexitatea sistemelor IT.

Sursa: Commvault

Automatizarea bazată pe politici

Ceea ce va fi surprinzător pentru mulți profesioniști din domeniul IT și al afacerilor deopotrivă, este modul în care metodologiile de backup și arhivare pot constitui baza pentru abordarea acestor provocări, în chiar zona în care acestea au rate foarte ridicate de creștere a datelor – fișierele, e-mailurile, videoclipurile, postările sociale și alt gen de conținut de date nestructurate.

Folosind soluția Commvault de automatizare bazată pe politici ca bază a unei strategii sănătoase de gestionare a datelor, costurile și complexitatea pot fi controlate, în timp ce aspectele legate de politica de date, cum ar fi păstrarea, separarea și localizarea datelor, pot fi gestionate ca parte a operațiunilor automatizate. Este de la sine înțeles că, în calitate de lider în domeniul back-up-ului și a recuperării de date corporative, software-ul Commvault reprezintă o alegere excelentă pentru a asigura integritatea datelor.

În ceea ce privește modul în care sunt create și gestionate politicile, acestea se pot baza pe orice criterii relevante, cum ar fi numele fișierului, tipul, etichetele, cuvintele cheie și conținutul. Clasificarea bazată pe conținut poate fi utilizată pentru a identifica datele personale care pot constitui subiectul unor reglementări. Datele pot fi căutate pe baza acelorași criterii, pe baza rolurilor din fișierele directoare, în timp ce seturile de rezultate pot fi clarificate și selectate în scopul remiterii către terți, cu asigurarea deplină a acurateței, validității și integrității lor. Înlăturarea duplicatelor ne asigură de faptul că o singură copie a fiecărui obiect poate fi urmărită și gestionată, ceea ce este vital atât pentru controlul costurilor, cât și pentru gestionarea eficientă a datelor în funcție de politici.

Securitatea, o componentă cheie în politicile aplicate

Având în vedere caracterul dinamic al IT-ului modern, în special în Cloud, este esențial să fie surprinse toate schimbările din industrie. Auto-identificarea și monitorizarea asigură faptul că modificările – cum ar fi adăugarea unui nou centru virtual (VM) – sunt detectate și pot fi acționate fie automat, fie evidențiate. O verificare de audit și o raportare bogată permit verificarea completă a îndeplinirii politicilor.

Securitatea reprezintă o componentă importantă în cadrul politicilor aplicate, iar soluția Commvault extinde securitatea, de la comunicarea internă dintre componentele software la datele gestionate în tranzit sau stocate. Securitatea datelor deținute pe laptop-uri poate fi asigurată prin capacitatea de a determina amplasamentul lor și de a șterge datele din laptopurile pierdute, în timp ce datele nepotrivite pot fi identificate în scopul conformării – aceasta va fi semnificativă în gestionarea regulamentelor GDPR, care se aplică datelor tuturor cetățenilor UE, oriunde ar fi acestea stocate.

În concluzie, Cloud, Big Data și noul regulament european de confidențialitate vor aduce reglementarea și buna guvernanță în prim-planul gândirii IT. Problemele legate de confidențialitate, securitate, anonimitate, responsabilitate, fiabilitate și supraveghere guvernamentală trebuie soluționate într-un mod eficient din punct de vedere al costurilor. Această tendință asigură un viitor remarcabil pentru automatizarea bazată pe politici a soluției Commvault, ca bază pentru gestionarea eficientă a datelor și a informațiilor, în întreaga organizație.

Acest articol a fost publicat de Commvault în Catalogul GDPR Ready, Octombrie 2017. Date de contact: Sergiu Costin, Territory Manager Commvault, scostin@commvault.com

Image Sources: commvault.com

THE FIRST GDPR READY CATALOGUE PUBLISHED IN ROMANIA

AGORA Press Group and cloud☁mania – knowledge platform for Cloud & Business Transformation, announces the publication of the GDPR Ready Catalogue – the first editorial project in Romania dedicated to service and solutions offerings to ensure compliance with the GDPR provisions. The GDPR Ready catalogue is part of the 7th edition of the Catalog of Cloud Computing Romania guides and is an essential component of the “GDPR Ready!” Initiative. 

Click the cover to see it online!

 

Since May 2016, when the European Parliament approved EU Regulation 2016-679, GDPR became the keyword in all business, technological and social environments. The new Regulation is the most important change to the legislation on personal data protection in the EU and globally. 2018 will be a year of much agitation, with major implications not only for the IT area but also for governmental organizations and data operators in any industry. For, after all, we are all data processors, and we will all be subject to the same rules.

Although it is technologically advanced, the IT industry is one of the areas where compliance with the new regulation can raise the biggest problems. The vast majority of companies are aware of the strategic importance of alignment with GDPR provisions, but very few are really prepared to act. What do Cloud providers do to provide GDPR compliant services? But data centre operators? But eCommerce companies and online payment processors? But distribution companies, reseller channels and IT retailers? But software houses and call-centre service providers, consulting, training and maintenance? Of course, there are many things common to all of these IT domains, but also a multitude of particular aspects.

Quick Guide

This was the reason we decided the 7th Edition of the Cloud Computing Romania Catalogue should be dedicated to GDPR. Starting from the knowledge and coordination gap in the IT industry, we felt the need to edit a GDPR Ready Catalog that would serve and provide general recommendations for data operators in any industry. The GDPR Ready Catalog is structured in two parts:

  • Quick Guide
  • GDPR Compliance and Service Recommendations Catalog.

The “Quick Guide” contains 60 questions and responses structured so as to provide an overview of the main changes introduced by the Regulation as well as the critical areas that we need to know when preparing compliance. It also comes with a series of recommendations from international experts, governmental and professional associations, and analysis & research firms. The main chapters covered by the compliance questions series relate to:

  • The Importance of GDPR
  • Brief history of personal data protection
  • GDPR Principles
  • Rights of the data subjects
  • Personal data protection
  • Impact assessment
  • International data transfer
  • Ensuring compliance
  • Notification of security breaches and penalties.

The guide is accompanied by the recommendations of experts who have referred to the main directions for Cloud providers: Bart von Buitenen – managing partner White Wire, Ian MoyseIan Moyse, Sales Director Natterbox,  Cloud Industry Forum, Lucia Ştefan – Archiva consultant manager Ltd (UK) and Attle Skjekkeland – Vice President AIIM Europe, as well as the recommendations of the National Supervisory Authority for Personal Data Processing (ANSPDCP), CERT.RO, ANSII + some of its members and IDC Romania.

GDPR Compliance Conformance Guidelines

The second section is the GDPR Compliance Conformance Guidelines offered by vendors, integrators and resellers of information security solutions and services, service packs provided by law firms, consulting companies, and training and certification firms. We thank the partners from ALEF Distribution, Archiva Ltd., ASBIS, AxelSoft, Commvault, Info World, IXIA, Omega Trust, Providence, Relational, Romsym Data, RQM Certification, Star Storage, Tryamm and Zitec for participating with us at this project.

GDPR Ready Initiative

Publication of the GDPR Catalog is part of the GDPR Ready Initiative, which brings together a wide variety of projects and activities designed to help data operators and processors in Romania:

  • GDPR Explicit Articles – 15 articles published on the cloud☁mania website
  • Quick Guideline in the GDPR Catalog
  • Brochures and eBooks
  • Market studies and analyzes
  • Media Partnerships
  • Organizing GDPR Events
  • Moderate GDPR panels
  • Training sessions
  • Recommendations and advice to IT companies

The GDPR says that organizations must be in compliance as early as May 25, 2018. If you think that until then there is enough time for you to start implementing the necessary measures to ensure GDPR compliance, you have to keep in mind that the average duration of a trial may be FOUR – FIVE months, depending on the size of the organization and the type of processed personal data.

TIME TO GO TO ACTION IS NOW!

There are 209 days left!

What cloud providers need to focus on for GDPR compliance

Bart van BUITENEN

Bart van BUITENEN – GDPR, DPO, data protection, CISO, ISO27k – is managing partner of White Wire. Bart is very active in the fascinating world of data protection and privacy, specialized in guiding GDPR implementation projects, GDPR audits, DPIAs, ISO27001 implementations and all things data protection and privacy. White Wire is a boutique consultancy firm specialized in assisting healthcare organizations, SMEs and technology firms all over the EU with their data protection needs.

 

 

If you are a cloud provider, whether or not based in the EU, it is very likely you are processing personal data on European soil or concerning EU-based persons which means the GDPR applies to you. There is even a specific term to indicate a provider that processes personal data on behalf of an organization: the processor.

A lot of the focus has been put on the role of the ‘controller’, the organization responsible for determining the means and purposes for processing, and not enough emphasis is put on the role of the processor. And yet the GDPR changes many things for processors compared to previous data protection legislation, for example with regards to liability, responsibility and several new obligations. Below you will find what I believe to be the most important aspects for cloud providers (assuming they are indeed processors) to work on for GDPR compliance by the 25th of May 2018.

1 Data processing agreements

Controllers provide specific instructions to processors, and such instructions need to be documented in so-called “data processing agreements”. Such agreements are not new: they were also required under the previous European data protection legislation (Directive 95/46, and consequently the applicable member state law) but in practice correct and complete processing agreements are rare finds indeed.

Most organizations were not aware of the requirement for processing agreements, and for cloud providers, this usually meant more work and responsibilities while getting little in return. This has changed in the GDPR: article 28 specifically mentions data processing agreements and details what they should include. Unlike before, cloud providers now have a clear incentive to create processing agreements: the agreement should include the instructions for the cloud provider, and as such will become a very important part in determining liability. (Art. 82(2)).

Tip:

  • be proactive, don’t wait for the controller to mention the agreement first! This way you have an opportunity to propose your own template and at the same time show to your client that you are on top of this GDPR thing.

2 Subcontractors

Data processing agreements need to be in place for your clients, but cloud providers will often have their own subcontractors. In the world of IT, the use of subcontractors is prevalent and many subcontractors will indeed be processors for the cloud provider. From the perspective of the clients using the cloud (the controllers), these subcontractors are then sub-processors. A cloud provider needs to ask the permission of the controller to use sub-processors, something that should be addressed in your processing agreement (see section 1.). Working with sub-processors can be handled in a generic permission or a specific permission per sub-processor. The processor remains liable, so rock-solid agreements with sub-processors should be high on any cloud provider’s list.

Tip:

  • Asking specific permission can be a hassle, ask for a generic permission and offer clients the opportunity to consult (and object to) a complete list of sub-processors at any time, e.g. by providing that list on a specific web page on your site.

3 Record of processing activities

Every controller should maintain a record of processing activities: a tool or document that details the different personal data processing activities within the organization. A lighter version also needs to be maintained by the processor and should involve all the processing activities carried out for its clients.

Tips:

  • Creating such a record or processing activities will provide valuable insight in finding which data you process and should be one of the first actions in a GDPR implementation plan.
  • Organizations sometimes lose themselves in the details, keep in mind GDPR does not require you to map every single data field, and it’s about processing activities which often map very closely with the services being offered to clients.
  • Don’t keep a register per client, just make sure you can link clients to processing activities by including the services you offer per client in your CRM or client database.

4 Transfers outside the EU

When EU personal data is transferred to countries outside the EU, it is important that the data receives the same protections and safeguards as within EU borders. To ensure this, the GDPR includes several mechanisms that make this possible, of which the most prevalent ones are:

  • Adequacy decisions: when the EU has determined that a country outside the EU (or a specific agreement with such a country, e.g. Privacy Shield with the US) offers adequate protection it will take an adequacy decision. Link to current adequacy decisions: http://ec.europa.eu/justice/data-protection/internationaltransfers/adequacy/index_en.htm
  • Binding Corporate Rules (BCR): many multinationals will have establishments in countries outside the EU. BCR document which measures an organization takes to ensure that a transfer of personal data outside the EU, but within the same organization, still offers adequate protection. Data Protection Authorities need to validate BCR before they can be applied
  • Standard Contractual Clauses (SCC): template contracts, validated by the European Commission, that once again contain safeguards that should guarantee adequate protection when personal data are transferred outside the EU. Link to SCC:

http://ec.europa.eu/justice/data-protection/internationaltransfers/transfer/index_en.htm

Tip:

  • Privacy Shield and SCC are under scrutiny and may well be invalidated in the not too distant future. If at all possible, keep data within the EU.

5 Information Security vs data protection

Information security and the protection are not the same. Information security concerns all information, which includes personal data. Data protection concerns all aspects regarding the processing of personal data, which includes securing the information. So there is a clear overlap, but also a significant difference.

That being said, securing the information against unauthorized access, loss or destruction is a very important aspect within GDPR. In short, this aspect of the GDPR can be summarized as maintaining the confidentiality, integrity and availability (also known as CIA) of personal data that a cloud provider processes. Keep in mind that any violation of these CIA principles (e.g. data breaches) will need to result in a notification to the controller, who in turn may need to notify data protection authorities and data subjects if the potential risks of the breach are high enough.

Tip:

  • Align GDPR initiatives to information security governance. For example, the ISO27001 norm can be combined with data protection principles to provide a framework that addresses both information security and data protection.
  • Think about and document a notification procedure BEFORE you actually need it.
  • Review your need to apply a data protection officer (DPO). Even when clients individually don’t need to appoint one, a cloud provider may still need to appoint one.

6 Obligation to assist and notify

Processors are obliged to assist or notify controllers when they have information that a controller needs to fulfil GDPR requirements, such as performing DPIA’s or the before mentioned data breach notifications.

Tip:

  • Document (e.g. in the processing agreement or another contract) how the assistance should take place: how should a request be made, within what timeframe will the cloud provider respond, are there any costs associated with the assistance…?

7 Every processor is also a controller

Keep in mind, it is extremely likely that cloud providers are controllers in their own right. Processes in departments such as HR, Suppliers, Clients all include the processing of personal data and will need to follow GDPR principles.

Tip:

  • Keep separate records of processing activities (see section 3) for controller and processor activities.

Romanian version of this article is part of first GDPR Ready catalogue published in Romania in October 2017. You can view the online version of the catalogue HERE. GDPR Ready Catalogue, pag. 50-53, Agora Group & cloud☁mania, Bucharest, October 2017,

 

Maraton de  soluții  pentru viitoarele orașe inteligente ale României la Dezbaterea Națională ”Different City – Smart City”

 

Revoluția digitală antrenează după sine o avalanșă de soluții pentru o viață economică și socială cât mai bună. Trăim și muncim în mediul pe care îl îngrijim, în spațiile pe care le întreținem, în orașe cât mai inteligente, unde toate facilitățile tehnologice sunt la îndemâna tuturor. Sunt gata orașele din România pentru amplul proces de transformare în orașe inteligente? Orașele sunt și au fost întotdeauna gata, important este ca ofertanții de soluții să se adapteze la nevoile concrete ale acestora, în condițiile impuse de specificitățile țării noastre.

Aceasta a fost principala concluzie în urma evenimentului maraton ”Different City-Smart City. Dezbatere Națională 2017-2020” organizat pe 24 și 25 octombrie 2017 în București. Așa cu reiese chiar din titlu, evenimentul a fost gândit ca un prilej de dezbatere națională, la care au luat parte peste 150 de invitați, dintre care 50 de primari și reprezentanți ai primăriilor și comunităților locale din întreaga țară, manageri și specialiști în servicii publice, precum și experți în români și internaționali în soluții pentru o administrarea modernă a orașelor.   

Știm cu toții că orice oraș din România are probleme cu infrastructura, cu fluidizarea traficului, cu parcările, cu iluminatul, cu securitatea publică, cu costurile supraîncărcate ale serviciilor utilitare sau cu reducerea poluării. Pe de altă parte, orașele nu sunt numai cartiere de blocuri sau zone rezidențiale. Pot fi și hub-uri pentru business, campusuri academice, centre culturale sau nuclee de știință. Pe măsura dezvoltării urbane e nevoie de redimensionarea serviciilor, estimarea dinamicii și controlul costurilor.

Aflată la a doua ediție, Dezbaterea și-a propus să ofere cadrul necesar promovării conceptului de Smart City și să contribuie la accelerarea fluxului de inovare la nivelul administrațiilor publice și a mediului de afaceri din România. Așa cum a reieșit din opiniile primarilor, putem constata că este o continuă nevoie de un parteneriat public-privat eficient, capabil să genereze, să coordoneze și să finalizeze proiecte Smart City, care să asigure o reală creștere a calității vieții în comunitățile urbane.

Prezență la nivel înalt

Evenimentul Dezbatere de la București a fost susținut de Ambasada Olandei, reprezentată de doamna ambasador Stella Ronner- Grubačić și a fost moderat de Marius Bostan, strategic advisor FNTM și fost Ministru al Comunicațiilor și Societății Informaționale. Importanța evenimentului a fost marcată de prezența actualului ministru al MCSI, domnul Lucian Șova, care a felicitat organizatorii pentru inițiativa acestei dezbateri, exprimându-și speranța că ”multe dintre problemele urbane aflate pe masa de lucru a primăriilor pot fi rezolvate prin adoptarea tehnologiilor și soluțiilor Smart City”.

În cuvântul său de deschidere, Marius Bostan s-a referit la principalele obiective ale Dezbaterii naționale printre care: accelerarea deciziilor autorităților publice pentru adoptarea soluțiilor smart în beneficiul cetățenilor și mediului de afaceri, promovarea soluțiilor inteligente pentru administrarea și funcționarea orașului și transformarea lui în Smart City cu ajutorul unor platforme și soluții specifice, precum și identificarea domeniilor de interes comun pentru viitoarele implementări și parteneriate.

„E timpul ca un public cât mai larg să afle că orașele pot fi inteligente sau ar trebui să fie. Primarii, manageri municipali, ar trebui să fie informați despre soluțiile existente care îi vor duce în rândul orașelor inteligente. Există și în România orașe care au intrat serios pe acest trend și care sunt exemplu de știut, de urmat. Apoi, cetățenii fiind informați, vor ști ce să ceară edililor și cum să participe și ei la acest efort. În acest mod vor putea grăbi adoptarea soluțiilor pentru Smart City”, a declarat Marius Bostan. ”Acum 2 ani în cadrul MCSI a fost elaborat un Ghidul Smart City pentru România. Ar fi deosebit de util ca acest Ghid să fie completat și actualizat conform nevoilor actuale ale primăriilor.”

Ambasada Olandei la București, reprezentată la eveniment prin chiar doamna ambasador Stella Ronner- Grubačić, este implicată activ în susținerea unor proiecte de dezvoltare a comunităților urbane, facilitând accesul administrației publice locale la informații despre soluții și tehnologii folosite cu succes în marile orașe din Olanda. ”În anul 2016, locuitorii din Amsterdam și-au alimentat vehiculele electrice cu energia echivalentă parcurgerii unei distanțe de 25 de milioane de km,” a afirmat doamna ambasador Ronner- Grubačić, subliniind importanța folosirii surselor de energie alternative pentru păstrarea unui mediu curat. Referindu-se la schimbul de experiență cu reprezentanții municipalităților din România, doamna ambasador a anunțat demararea unui program susținut de Guvernul olandez, prin care un grup de cca 10 primari din România să poată vizita câteva dintre cele mai importante orașe ale Olandei care beneficiază deja de facilități Smart City.

Administrație inteligentă – Cetățeni mulțumiți

Prima secțiune a Dezbaterii a avut ca tematică principală discutarea soluțiilor care pot facilita interacțiunea cetățenilor cu administrația publică, punându-se accentul pe soluții de eliminare a birocrației, digitizare a serviciilor publice, servicii de educație, sănătate și turism.

Moderatorul acestei secțiuni a fost Valentin Voinica, Manager Proiect la Primăria Alba Iulia, care a prezentat succint stadiul actual de dezvoltare al celui mai amplu proiect al municipal de tip Smart City al momentului. Cetățenii din Alba Iulia au în acest moment la dispoziție 62 de soluții în diferite stadii de implementare, iar numărul acestora sporește pe măsură ce noi facilități sunt adăugate la infrastructura de comunicare a orașului. Coloana vertebrală a sistemului Smart City este rețeaua de Internet în bandă largă, 4G/4G+, Wi-Fi și LoRaWAN. Rețeaua Wi-Fi include peste 228 puncte de acces în cetate și oraș și 15 puncte de acces în mijloace de transport în comun. Rețeaua dedicată obiectelor conectate la internet (IoT), LoRaWAN, acoperă prin 6 gateway-uri întregul oraș și conectează 150 de senzori de iluminat și apă. Această infrastructură deschisă are la bază o platformă open data prin intermediul căreia aplicațiile dezvoltate de start-up-urile partenere conectează autoritățile locale, localnicii, turiștii, precum și antreprenorii din Alba Iulia. În acest mod, infrastructura digitală a orașului facilitează noi oportunități, precum și o optimizare a resurselor locale. Se dorește ca anul viitor pe 1 decembrie, când vom aniversa cu toții 100 de Românie modernă, orașul digital Alba Iuia să dispună de peste 100 de soluții inteligente funcționale.

Manon Jutte, corporate strategist Alliander NV, Olanda

Principala prezentare a panelului a fost susținută de Manon Jutte, corporate strategist la Alliander NV, Olanda care s-a referit la studiul de caz al digitalizării orașului Amsterdam și la importanța pe care o au comunitățile locale în identificarea problemelor și generarea soluțiilor inteligente. Conceptul de bază care a servit la dezvoltarea digitală a orașului Amsterdam este focalizarea pe Democracy by Design. Încă de acum câțiva ani, primăria orașului Amsterdam a avut inițiativa înființării unui Smart Citizens Lab, instituție public-privată unde cele mai importante aspecte ale vieții civice sunt propuse și coordonate chiar de cetățeni. Împreună cu arhitecți, peisagiști, cercetători, locuitorii din Amsterdam participă direct la proiecte de purificare a aerului și a apei, limitare a zgomotului și reducerea poluării prin intermediul unor inițiative dedicate precum: cele mai bune canale pentru înot, cele mai pure trasee de parcurgere a orașului, sau care este cel mai liniștit cartier.

În cadrul aceleiași secțiuni,  Dell EMC – partener principal al evenimentului, reprezentat prin Valentina Frângu – Sales Team Leader Mid Market Division DELL EMC Romania, a prezentat o platformă deschisă de date, menită să ofere cetățenilor și organizațiilor o perspectivă de acces la datele administrației publice, precum informații despre poluarea mediului sau fluxurile de trafic. Orașele inteligente au nevoie de o infrastructură IT puternică și flexibilă. Prin toate companiile care sunt integrate grupului Dell la ora actuală, producătorul american este capabil să furnizeze întreaga gamă de soluții Edge, Fog și Cloud, care asigură buna administrare a platformei de date.

George Anghel, director general al Digitax a abordat problemele ridicate de transformarea digitală, precum și o noutate de ultim moment care rezolvă una dintre principalele probleme existente în administrarea publică: lipsa de interconectivitate între diferitele sisteme informatice, construite pe diferite platforme, în diferite stadii tehnologice. Bazată pe aplicații ce rulează în Cloud, platforma Digitax se bazează pe o interfață de front-end precum Ghiseul.ro, care permite tuturor instituțiilor publice dintr-o municipalitate să acționeze într-un mod ușor, rapid și interconectat.

Iuliana Leon, avocat senior la casa de avocatură Țucă, Zbârcea și Asociații a avut o expunere extrem de interesantă legată de utilizarea parteneriatelor de tip public-privat (PPP) pentru realizarea proiectelor Smart City.  Investitorii și finanțatori din România au salutat adoptarea legislației privitoare la parteneriatul public-privat. Legea 233/ 2016, cunoscută și ca Legea PPP a venit cu o serie de noutăți ce pot genera efecte importante în mediul economic, inclusiv asigurarea resurselor tehnice și financiare pentru proiecte de tip Smart City.

În încheierea prezentărilor din prima secțiune, Adrian Ilie, managing partner la Synergetics Corporation a prezentat o aplicație GIS pentru gestiunea datelor urbane și automatizarea serviciilor de urbanism. În acest moment birourile de urbanism din primăriile marilor orașe din România folosesc extrem de puțin soluțiile moderne de urbanism care oferă avantajul unei dezvoltări coerente pe termen mediu și lung, precum și realizarea unor proiecții ale diferitelor faze de dezvoltare a arealului municipal.

Smart Connectivity, Smart Citizens

A doua sesiune a evenimentului a fost dedicată soluțiilor de conectivitate, fără de care nu poate fi construită o infrastructură urbană inteligentă. Moderatorul Marius Bostan a subliniat importanța acestor categorii de soluții. Principalul invitat Adri Wischmann, specialist la compania IoT din Olanda, a apreciat că un oraș inteligent trebuie să se bazeze pe o mulțime de dispozitive inteligente interconectate și s-a referit la comunitatea internațională a utilizatorilor de rețele LoRaWAN. The Things Network reprezintă o inițiativă internațională, membră a comunității de dezvoltatori LoRaWAN care și-a propus crearea unei rețele a tuturor obiectelor conectate la Internet fără a avea nevoie de conexiuni 3G sau WiFi. Comunitatea The Things Network Bucharest și-a propus crearea unei infrastructuri pentru viitorul București Smart City, pornind de la un nucleu de bază, prin adăugarea a cel puțin unui gateway pentru fiecare membru al acestui nucleu și extinderea rețelei pentru sensibilizarea autorităților publice locale. În acest moment, comunitatea are 2 gatewayuri în București și unul în Popești Leordeni și 17 contributori. Amănunte pe site.

Adri Wischmann, Owner/ CTO IoT, Olanda

Prezentările acestei secțiuni au inclus o serie de soluții interesante, aplicabile și replicabile. Astfel, Șerban Țîr, vicepreședintele Different Angle Cluster a prezentat aplicația S3 City Guide App dezvoltată împreună cu Primăria Sectorului 3 a Capitalei. Disponibilă pentru moment doar pentru utilizatorii iPhone, aplicația oferă locuitorilor Sectorului 3 o serie de informații și instrumente de interes practic legate de relația cu autoritățile publice din acest sector. Radu Munteanu, director IT la Sectorul 3 a făcut o scurtă prezentare a utilității unei astfel de aplicații și la principalele elemente necesare pentru implementare.

Alexandru Nen – solution architect la Telekom România a prezentat al doilea proiect pilot derulat de operatorul de telefonie în Municipiul Constanța, într-un spațiu public situat în zona Sălii Sporturilor. La fel ca proiectul precedent realizat în 2016 împreună cu Primăria Sectorului 4 din București, locuitorii Constanței au la dispoziție soluții inteligente pentru identificarea și rezervarea unui loc de parcare, spoturi wi-fi, iluminat inteligent, camere de supraveghere a spațiului public, un sistem de alimentare a vehiculelor electrice, precum și un sistem de monitorizare a calității mediului. Nu s-a găsit încă o soluție optimă pentru a integra și funcțiile de plată a parcării prin telefonul mobil, dar există studii pentru rezolvarea acestei probleme.

Echipa Low Power Smart City Italia

Low Power Smart City Italia în parteneriat cu Universitatea Tor Vergata din Roma, ENEA (Institutul Național pentru Tehnologii Noi, Energie și pentru dezvoltare economică durabilă) și cu Centrul Național de Cercetare pentru Dezvoltare (CNR), au prezentat rezultatul cercetărilor de crearea a unor noi modalități de comunicare în domeniul eficienței energetice. Andrea Rodini, Simone Massimiani și Liliana Manea, specialiști la Low Power Smart City Italia au prezentat soluția Smart City: the future is connected with you. Firma italiană este specializată în construirea de dispozitive ce facilitează conexiunea, precum camere de supraveghere, spoturi wi-fi, panouri de informare pentru infrastructura de drumuri cu telecomandare de la distanță, echipamente inteligente pentru coordonarea traficului și puncte de încărcare pentru vehiculele electrice. Larga aplicabilitate a produselor fabricate de Low Power Smart City le recomandă pentru o multitudine de aplicații.

Bogdan Răduță, Chief Technology Officer Qualitance

De un interes deosebit  s-a bucurat prezentarea lui Bogdan Răduță, Chief Technology Officer la compania Qualitance, care a arătat două soluții Smart Building implementate deja în două orașe mari: o soluție de monitorizare a dispozitivelor medicale dintr-un spital din Chicago, precum și o soluție de rezervare a spațiilor utilitare din interiorul unui hub de business din Londra. Ambele soluții sunt bazate pe interconectarea și monitorizarea unor dispozitive IoT, rezultatele sistemelor de monitorizare implementate fiind extrem de favorabile pentru asigurarea economiilor de materiale și mijloace fixe și pentru o cât mai bună coordonare în spațiile comune. Lucrul de acasă și de la distanță creează premisele utilizării tot mai eficiente a unor astfel de incubatoare de business, care oferă întregul set de facilități absolut necesare pentru asigurarea eficienței și colaborării.

O prezență inedită la finalul secțiunii a 2-a a dezbaterii a avut-o Constantin Toma, primarul Municipiului Buzău care s-a referit la situația reală existentă în majoritatea primăriilor din țară și care poate să afecteze buna derulare a unor proiecte de tip Smart City. Conform opiniei domnului primar, totul pleacă de la prezența oamenilor în funcțiile cheie și de la calitatea profesională a acestora. Multe dintre primăriile locale se confruntă cu probleme administrative și birocratice, iar inițiativele locale sun lipsite de resurse umane și finanțare. Soluția optimă este ca furnizorii de soluții inteligente să meargă direct la sediile primăriilor și să studieze nevoile reale ale acestora, pentru a putea veni cu servicii localizate. Foarte importantă în acest demers este și susținerea comunităților locale, principalele beneficiare ale unor soluții inteligente.

Smart Street Lighting

Constantin Toma, primarul Municipiului Buzău

A treia sesiune a evenimentului dezbatere s-a concentrat pe soluțiile de iluminat inteligent. Secțiunea l-a avut ca moderator pe Adrian Ilie, managing partner la compania Synergetics. Autoritățile publice preocupate de iluminatul stradal eficient, adaptat nevoilor specifice au la dispoziție  multitudine de soluții. Compania TVILIGHT BV din Olanda împreună cu firmele românești Total Strada și Cybernetics  International, au prezentat  soluții de iluminat public inteligent, care permit adaptarea automată a intensității luminoase în funcție de trafic și monitorizarea în timp real. Participări interesante la acest panel au mai avut Paulina Mitrea, Coordonatorul grupului Brained City din cadrul Cluster Cluj IT, viceprimarul Sectorului 2 Cristian Dan și City Managerul municipiului Călărași, Valentin Deculescu.

Soluții verzi pentru un mediu curat

A patra secțiune a evenimentului a fost dedicată soluțiilor de protecție a mediului, a căror importanță a fost susținută de Leon Smet, secretar Royal Anthos, Olanda, care s-a referit la valoarea adăugată indusă de tehnologiile green în proiectele urbane. Una dintre cele mai acute probleme ale municipalităților este reciclarea deșeurilor rezultate din activitățile casnice și industriale. Una dintre soluțiile din domeniul managementului deșeurilor a fost prezentată de Anda Stancu de la Green Group, care a vorbit despre SIGUREC, o soluție inteligentă pentru colectare selectivă a deșeurilor reciclabile. Una dintre problemele asociate acestui domeniu este gestionarea eficientă a recipientelor de colectare a gunoaielor. Mădălina Smochină de la  Arctos Innovation a prezentat un sistem inteligent de cântărire și identificare a pubelelor utilizate în cadrul unei comunități. Interesantă prezentarea susținută de Dragoș Bâlcu, Business Development Manager la Intrarom, care s-a referit la transformarea de la inteligent la genial, într-o abordare holistică a conceptul de Smart City.

O altă problemă de care se lovesc în mod frecvent toate proiectele comunitare este asigurarea finanțării. În condițiile în care accesul la proiectele europene este destul de anevoios, e permanentă nevoie de alte surse, care ar putea fi eventual susținute prin diferențe de la bugetele locale. Compania Avisso reprezenată la evenimntul dezbatere de Mirabela Miron, CEO Avisso e specializată în servicii de consultanță financiară pentru proiecte comunitare, fiind gata să ofere celor interesați soluții de susținere financiară a proiectelor Smart City.

A doua zi a Dezbaterii a fost dedicată unor întâlniri bilaterale de afaceri, într-un spațiu organizat, oferind participanților ocazia de a discuta chestiuni concrete despre soluțiile prezentate în cadrul evenimentului, care să ajute la demararea și accelerarea proceselor de implementare a soluțiilor Smart City. Întâlnirile bilaterale sau pe grupuri de interese au constituit totodată un bun prilej pentru stabilirea de noi conexiuni, dar și un punct de plecare pentru viitoare parteneriate.

Cei interesați de alte detalii despre eveniment, agendă, vorbitori și companiile participante pot accesa pagina oficială a Dezbaterii: https://concordcom.ro/evenimente/smart-city-2/. Dezbaterile au fost transmise LIVE pe pagina de Facebook Calea Europeană, iar pe siteul www.caleaeuropeana.ro pot fi urmărite înregistrările video le celor 4 secțiuni principale

Dezbaterea a beneficiat de suportul direct al Ambasadei Olandei la București și a avut ca Partener Principal compania Dell EMC.

Parteneri Silver: Telekom România, Digitax, Low Power Smart City Italia, Green Grup, Arctos, TVILIGHT Olanda, Cybernetics International, Aedillia Olanda, Synergetics Corporation, Avisso.

Parteneri: Țucă Zbârcea și Asociații, Intrarom, VMB Partners

Organizatori: Concord Communication, Different Angle Cluster, Fundația Națională a Tinerilor Manageri

Concluzionând, România are un potențial urban promițător și este o piață extraordinară pentru soluțiile și serviciile Smart City. Dar să nu uităm că  ”Smart City” nu este numai o etichetă pe care o poate afișa orice primărie care a demarat un proiect de modernizare. Smart City este o atestare a faptului că o comunitate urbană a reușit să facă pași importanți în procesul de transformare digitală. Un oraș inteligent este reprezentat în primul rând de comunitățile inteligente care locuiesc și muncesc într-un areal urban. Haideți să capacităm toate forțele interesate și să cristalizăm comunitățile inteligente. Proiectele și soluțiile vor veni după aceea în mod natural…

Sursă fotografii: Concord Communication

Mușat & Asociații se implică activ în conștientizarea GDPR

Evenimentul de GDPR care s-a bucurat de cel mai mare impact în ultima perioadă a fost dezbaterea “Noua ordine europeană pentru protecția datelor personale” care a beneficiat de implicarea activă  a casei de avocatură Mușat & Asociații. Pe lângă găzduirea efectivă a evenimentului, avocații de la Mușat & Asociații au susținut o serie de prezentări cu impact major pentru conștientizarea importanței GDPR, care au alternat cu descrierile de soluții tehnologice și răspunsurile la un mare număr de întrebări.

Forța componentei legislative

Alături de tehnologie și operațional, componenta legală are o contribuție esențială în triada vectorilor care cumulează esența unui proiect de conformitate GDPR. Rolul conștientizării importanței noului regulament este genetic legat de esența legislativă. GDPR reprezintă o schimbare fundamentală în legislația UE în ceea ce privește datele și intimitatea personală. Regulamentul are două obiective majore:

  • Actualizarea legislației privind protecția datelor pentru a reflecta noile comportamente digitale și valorile societății;
  • Armonizarea regulilor privind protecția datelor la nivelul UE, deoarece vechea Directivă privind Protecția Datelor a fost abordată și implementată în maniere diferite de statele membre, adaptată la propriile culturi, nevoi și preferințe. Asta a influențat o inhibare a comerțului și activităților cross-border, acționând ca o frână în calea unei viitoare piețe unice digitale.

De aici, orice proces de implementare a măsurilor care asigură conformitatea cu GDPR trebuie să înceapă cu înțelegerea cadrului legal: structură, importanță, elemente de noutate, noile obligații, și mai ales, noile penalități. Punerea în aplicare a procedurilor de obținere a complianței intră în sfera operațională și evident ajunge sub incidența tehnologiilor de  asigurare a protecției datelor personale, dar fiecare etapă și procedură a acestui proces trebuie să fie în concordanță cu dispozițiile și cu spiritul Regulamentului. Ofițerul cu protecția datelor personale sau persoana desemnată să acționeze potrivit acestui rol are datoria de a coordona și de a face recomandări în spiritul legii. Potrivit Articolului 39, printre principalele atribuții ale unui DPO se numără:

  • Informarea și consilierea organizației și angajaților cu privire la obligațiile de a respecta GDPR și alte legi privind protecția datelor;
  • Monitorizarea respectării GDPR și a altor legi privind protecția datelor;
  • Primul punct de contact pentru autoritățile de supraveghere și pentru persoanele fizice ale căror date sunt prelucrate.

Rolul ghidurilor de bune practici în succesul unui proiect GDPR

Avocat Bogdan Mihai, Partener Muşat & Asociații.

Pentru a veni în sprijinul celor interesați de procesul de obținere a conformității, reprezentanții casei de avocatură Mușat & Asociații au realizat un Ghid practic de implementare a măsurilor de conformitate GDPR  în care sunt explicate cerințele principale ale GDPR-ului, aplicate tuturor companiilor care prelucrează date personale, prezentat de avocatul Bogdan Mihai, Partener Muşat & Asociații.

Ghidul acoperă toate cerințele principale impuse de GDPR, de la temeiul juridic pentru controlul și prelucrarea datelor cu caracter personal, la scopul legitim pentru colectarea și prelucrarea acestora, documentarea activităților, evaluarea riscurilor, și până la notificarea autorității de supraveghere,  desemnarea responsabilului cu protecția datelor, actualizarea datelor inexacte și transferul datelor în afara UE.

O bună premisă pentru demararea unui proces de implementare GDPR presupune o bună cunoaștere a condițiilor introduse de Regulament, prin educația administratorilor și personalului, începând cu directorul executiv, echipa de conducere și personalul care se ocupă de prelucrarea datelor. Programul de instruire trebuie să coincidă cu crearea unui grup de lucru comun, din care va fi desemnat și care va susține responsabilul cu protecția datelor. Acest grup de acțiune trebuie să stabilească niște activități concrete legate de ce ar trebui să facă/ să nu facă angajații, precum și sarcinile și responsabilitățile în asigurarea protecției datelor.

Avocatul Bogdan Mihai a insistat pe importanța unei evaluări corecte a riscului de penalitate și ce ar însemna valoarea investiției în soluții care pot asigura conformitatea, în raport cu valoarea amenzilor preconizate. Foarte interesante au fost studiile de caz prezentate, privitoare la valoarea penalităților impuse unor organizații europene care nu au respectat actualele prevederi de protecție a datelor personale, precum o companie de televiziune din Spania sau o companie de telecomunicații din UK.

Ghidul realizat de Mușat & Asociații pune accentul pe importanța desfășurării unui inventar de tip end-to-end și a unui audit, precum și pe stabilirea unei baze legitime pentru fiecare prelucrare a datelor, ca de exemplu deținerea consimțământului persoanei vizate. O altă activitate recomandată este examinarea și actualizarea politicilor pentru protecția datelor, precum și exactitatea înregistrării oricăror activități de prelucrare.

Ca măsuri tehnice, Ghidul recomandă implementarea de instrumente automate pentru descoperirea, catalogarea și clasificarea datelor personale în întreaga organizație, soluțiilor de prevenire a pierderilor de date (DLP), criptarea datelor, adoptarea de măsuri de identificare, blocare și investigare a criminalității, precum și soluții pentru exportul de date.

Sancțiuni severe pentru nerespectarea GDPR

Una dintre cele mai importante schimbări cu care vine noul regulament este severitatea sancțiunilor care vor fi impuse celor care nu pot dovedi că au făcut tot ce le stătea în putință pentru prevenirea și limitarea consecințelor în cazurile în care au avut loc scurgeri sau pierderi de date, cu implicații pentru posesorii acestora.

Dar până la stabilirea și aplicarea sancțiunilor mai există o serie de prevederi ale GDPR mai puțin discutate și comentate public. În prezentarea sa referitoare la sancțiuni, avocatul Bogdan Mihai s-a referit la secțiunea privitoare la Remedii, răspundere și penalități. Potrivit Articolului 77: Dreptul de a depune o plângere la o autoritate de supraveghere – Fiecare persoană vizată are dreptul de a lansa o plângere la o autoritate de supraveghere, care din punct de vedere teritorial se află în statul membru de reședință obișnuită, în țara unde se află locul de muncă sau acolo unde s-a produs presupusa încălcare a protecției datelor personale. Autoritatea de supraveghere are obligația de a-l informa pe reclamant cu privire la progresele înregistrate, inclusiv posibilitatea recursului judiciar.

O altă problemă majoră o reprezintă răspunderea pe care o au operatorii și procesatorii de date. Operatorii sunt responsabili pentru daunele cauzate de prelucrarea care încalcă GDPR. Persoanele împuternicite de operator sunt responsabile atunci când nu au respectat obligațiile care le-au fost date in mod specific sau atunci când au acționat în afara sau contrar instrucțiunilor legale primate de la operatorul de date.

Este important de reținut că un operator poate fi exonerat de răspundere dacă dovedește ca nu este răspunzător în niciun fel pentru evenimentul care a cauzat prejudiciul. Dacă e vorba de mai mulți operatori implicați în aceeași operațiune de prelucrare, fiecare operator este răspunzător pentru întregul prejudiciu.

Pentru impunerea amenzilor administrative se iau în considerare următoarele aspecte:

  • Natura, gravitatea și durata încălcării
  • Intenția sau neglijența
  • Măsurile luate de contravenient pentru atenuarea sau prevenirea efectelor încălcării
  • Gradul de responsabilitate al operatorului
  • Eventualele încălcări anterioare relevante comise de operator
  • Gradul de cooperare cu autoritatea de supraveghere
  • Dacă operatorul a notificat încălcarea
  • Aderarea la coduri de conduită aprobate sau mecanisme de certificarea probate.

Autoritățile de protecție a datelor au puterea de a dispune unui operator de date să impună o interdicție temporară sau nedeterminată pe prelucrare, să suspende fluxurile de date către un destinatar dintr-o țară terță, să respecte solicitările persoanei vizate, să asigure conformitatea cu autorizațiile și consultările prealabile sau să dispună rectificarea, ștergerea sau distrugerea datelor.

Mai multe drepturi pentru noi, ca persoane fizice

Unul dintre cele mai importante aspecte prevăzute de GDPR este respectarea celor șase principii fundamentale de prelucrare a datelor personale, care îl responsabilizează pe operatorul sau procesatorul de date:

  • Legalitate, echitate și transparență;
  • Datele sunt colectate în scopuri determinate, explicite și legitime;
  • Reducerea la minim a datelor prelucrate;
  • Exactitate și menținerea actualității datelor;
  • Păstrarea datelor pe perioada necesară îndeplinirii scopurilor pentru care sunt prelucrate;
  • Integritate și confidențialitate.

O altă noutate adusă de GDPR la care s-a făcut referire este dreptul persoanelor fizice de a cere companiilor ștergerea datelor personale – dreptul de a fi uitat. În multe situații posesorii datelor personale pot renunța la acordul dat într-o anumită conjunctură și au dreptul să solicite ștergerea informațiilor din toate bazele de date. Dificultăți pot apărea atunci când datele sunt stocate în Cloud și nu există garanția că pot fi șterse de pe toate serverele sau în cazul unor instituții speciale, precum cele bancare, care au nevoie de istoricul clienților în acțiunile de prevenirea a spălării banilor sau pentru alte clauze contractuale.

Drepturile angajaților în lumina GDPR

Alte aspecte deosebit de importante ridicate de noul regulament vizează reflectarea relațiilor dintre angajați și angajatori, prin prisma prevederilor din dreptul muncii. Anca Vătășoiu, avocat la Mușat & Asociații, s-a referit la noile obligații care pot sau nu să fie asociate cu răspunderea angajaților prin contractul de muncă. Primele departamente vizate de GDPR sunt cele de resurse umane, dar și angajații, în mod individual, prin prisma faptului că intră în contact, într-un fel sau altul, cu date personale. Angajații trebuie să fie foarte atenți la modul în care prelucrează datele, deși întreaga răspundere în fața legii este a angajatorului. Cu toate acestea, angajatorul se poate întoarce împotriva acestora pentru recuperarea prejudiciului.

Potrivit Articolului 247(2) din Codul Muncii, ”abaterea disciplinară este o faptă în legătură cu munca şi care constă într-o acţiune sau inacţiune săvârşită cu vinovăţie de către salariat, prin care acesta a încălcat normele legale, regulamentul intern, contractul individual de muncă sau contractul colectiv de muncă aplicabil, ordinele şi dispoziţiile legale ale conducătorilor ierarhici.”

Pentru protecția companiilor, primul pas în concepția av. Anca Vătășoiu, este ”identificarea persoanelor care jonglează zilnic cu date personale și o definire clară a atribuțiilor descrise în fișa postului și a contractului de muncă.” Pe lângă aceste lucruri este nevoie de o informare și o prelucrare a legislației, a obligațiilor și a mecanismelor pe care angajatorul trebuie să le implementeze cu salariații. În paralel, trebuie reglementate, foarte detaliat, regulile cu privire la protecția datelor într-un regulament intern, chiar într-o politică dedicată. Tot în regulamentul intern trebuie definite şi încadrate în mod expres abaterile pentru încălcările GDPR. Angajatorii pot instrui şi comunica salariaţilor toate masurile şi procedurile care trebuie respectate pentru a nu ajunge în situaţia de a răspunde disciplinar, administrativ sau patrimonial.

Avem dreptul să monitorizăm angajații la locul de muncă și în ce condiții?

Anca Vătășoiu, avocat Mușat & Asociații

Una dintre cele mai interesante și mai controversate probleme abordate de doamna avocat Anca Vătășoiu a fost cea legată de monitorizarea angajaților la locul de muncă. Aici politicile companiilor sunt destul de diferite. De cele mai multe ori monitorizarea fiind făcută în scopul eficientizării activității angajaților, prin limitarea sau eliminarea accesului la internet sau la anumite instrumente sau aplicații în alte scopuri decât cele personale. În lumina GDPR apare problema creșterii responsabilității angajatului implicat în prelucrarea de date personale. Orice politică restrictivă prost aplicată poate conduce la încălcarea drepturilor individuale.

S-a făcut referire la un caz concret, celebru deja în mediul juridic, în care un angajat a utilizat o platformă de comunicare cu clienții în scopuri personale. Pe baza monitorizării companiei angajatoare, s-au luat măsuri de punere în aplicare a regulamentului intern. Angajatul a contestat decizia de concediere a companiei, în mai multe instanțe din România, dar a obținut câștig de cauză la CEDO, după mai multe răsturnări de situație.

Concluziile acestui caz sunt destul de controversate, dar ceea ce este sigur este faptul că, în special în departamentele unde se operează cu date personale, e nevoie de politici de monitorizare cât mai detaliate, în condițiile în care statisticile arată că peste 70% dintre incidentele legate de pierderea sau alterarea datelor sunt de natură internă. Pentru eliminarea oricăror situații critice, se recomandă construirea unei culturi organizaționale pentru GDPR, prin care fiecare angajat, manager și departament să își cunoască cu exactitate atribuțiile. Acolo unde politica companiei include sisteme sau acțiuni de monitorizare a angajaților, este bine ca toți angajații implicați să cunoască necesitatea monitorizării, perioada de timp, scopul și mijloacele de efectuare a acestei supravegheri.  Una dintre condițiile esențiale pentru evitarea oricărei neplăceri este ca monitorizare să fie cât mai puțin intruzivă.

O descriere mai largă a evenimentului Noua ordine europeană pentru protecția datelor personale” organizat de Concord Communication pe data de 12 Octombrie 2017 la sediul Mușat & Asociații poate fi citită în articolul ”O amplă reuniune de forțe la cel mai important eveniment dezbatere dedicat GDPR”.

Sursă fotografii: Concord Communiction

GDPR Explicitat (11) : Un personaj important – Data Protection Officer (DPO)

Una dintre noutățile cu care a venit GDPR este obligativitatea numirii unui ofițer responsabil cu protecția datelor (DPO – Data Protection Offcier) al cărui rol principal este coordonare și supraveghere a implementării condițiilor de conformitate GDPR, precum și ca persoană de legătură între organizație și autoritatea de supraveghere.

Deși condițiile numirii unui DPO, sarcinile și competențele acestuia sunt stipulate destul de clar în Articolele 37 – 39 din noul Regulament, importanța strategică a acestei poziții face ca subiectul să fie în centrul atenției în toate discuțiile și recomandările legate de GDPR. În acest articol vom prezenta elementele esențiale legate de numirea DPO și vom încerca să lămurim câteva dintre aspectele cele mai controversate.

Când suntem obligați să numim un ofițer de protecție a datelor?

Potrivit GDPR, este obligatoriu ca anumiți operatori și persoane împuternicite de operatori să desemneze un ofițer de protecție a datelor (DPO). În această situație se află toate autoritățile și organismele publice, indiferent de tipul datelor prelucrate, precum și  celelalte organizații care monitorizează în mod sistematic și pe scară largă persoanele fizice sau prelucrează categorii speciale de date cu caracter personal pe scară largă. Chiar și în situația în care GDPR nu impune în mod expres numirea unui DPO, organizațiile pot găsi ca fiind utilă desemnarea unui DPO în mod voluntar. Grupul de Lucru Articolul 29 („WP29”) încurajează aceste eforturi voluntare.

În conformitate cu Articolul 37, Aliniat 1 din GDPR, trebuie să desemnați un ofițer de protecție a datelor (DPO) dacă:

  • sunteți o autoritate publică (cu excepția instanțelor care acționează în calitatea lor judiciară);
  • efectuați o monitorizare sistematică, la scară largă, a persoanelor (de exemplu, urmărirea comportamentului online);
  • faceți o prelucrare la scară largă a unor categorii speciale de date sau date referitoare la condamnările penale și infracțiunile.

Există însă cazuri în care un grup de organizații, cum ar fi de exemplu partenerii dintr-un lanț de distribuție,  execută în mod frecvent activități comune care implică fluxuri de date ce pot fi controlate și monitorizate centralizat, la nivel de grup sau asociație de parteneri. În asemenea situații, puteți desemna un singur ofițer de protecție a datelor care să acționeze pentru un grup de organizații sau autorități publice, ținând cont de structura și dimensiunea acestora.

Alineatele 2 – 4 din Articolul 37: Desemnarea responsabilului cu protecţia datelor explicitează cele mai importante astfel de cazuri:

”(2) Un grup de organizații poate numi un responsabil cu protecţia datelor unic, cu condiţia ca responsabilul cu protecţia datelor să fie uşor accesibil din fiecare întreprindere.

(3) În cazul în care operatorul sau persoana împuternicită de operator este o autoritate publică sau un organism public, poate fi desemnat un responsabil cu protecţia datelor unic pentru mai multe dintre aceste autorităţi sau organisme, luând în considerare structura organizatorică şi dimensiunea acestora.

(4) În alte cazuri decât cele menţionate la alineatul (1), operatorul sau persoana împuternicită de operator ori asociaţiile şi alte organisme care reprezintă categorii de operatori sau de persoane împuternicite de operatori pot desemna sau, acolo unde dreptul Uniunii sau dreptul intern solicită acest lucru, desemnează un responsabil cu protecţia datelor. Responsabilul cu protecţia datelor poate să acţioneze în favoarea unor astfel de asociaţii şi alte organisme care reprezintă operatori sau persoane împuternicite de operatori.”

Potrivit aceluiași Articol 37, responsabilul cu protecția datelor este desemnat pe baza calităților profesionale și, în special, a cunoștințelor experților privind legislația și practicile privind protecția datelor și capacitatea de a îndeplini sarcinile menționate la Articolul 39. În anumite situații, agentul responsabil cu protecția datelor poate fi membru al personalului operatorului sau prelucrătorului sau poate îndeplini sarcinile pe baza unui contract de servicii externalizate. Controlorul sau procesatorul trebuie să publice datele de contact ale responsabilului cu protecția datelor și să le comunice autorității de supraveghere.

Care este rolul funcției de DPO?

Prin natura funcției și a împuternicirilor de care dispune, un DPO deține o poziție centrală, cu rol strategic, într-o organizație. Particularitățile și noutatea acestei poziții nasc o serie de întrebări care parțial sunt clarificate prin textul GDPR. La altele vom încerca să găsim noi răspunsul.

Potrivit Articolului 38: Funcţia responsabilului cu protecţia datelor, noi ca operatori trebui să ne asigurăm că responsabilul cu protecţia datelor ”este implicat în mod corespunzător şi în timp util în toate aspectele legate de protecţia datelor cu caracter personal”. Mai mult de atât, avem datoria să acordăm DPO tot sprijinul pentru îndeplinirea sarcinilor menţionate la Articolul 39, asigurându-i toate resursele necesare pentru buna executare a acestor sarcini. Printre aceste resurse se numără accesul la datele cu caracter personal şi la operaţiunile de prelucrare a acestora, cât și facilitarea accesului la resursele de instruire, pentru menţinerea cunoştinţelor sale de specialitate.

Un aspect foarte important și deci și foarte comentat legat de poziția DPO în cadrul unei organizații este autonomia acestuia în problemele de siguranța a datelor. Așa cum zice Articolul 38, Alineatul 3: ”Operatorul şi persoana împuternicită de operator se asigură că responsabilul cu protecţia datelor nu primeşte niciun fel de instrucţiuni în ceea ce priveşte îndeplinirea acestor sarcini.” Cum spuneam, această poziție privilegiată a generat numeroase discuții și nelămuriri privitoare la poziționarea acestei funcții în relațiile cu structurile de management și celelalte linii de business.

Nedumeririle sunt și mai mult accentuate de prevederea regulamentului prin care un DPO nu poate fi demis sau sancţionat de către operator pentru îndeplinirea sarcinilor sale. Responsabilul cu protecţia datelor răspunde direct în faţa celui mai înalt nivel al conducerii operatorului sau persoanei împuternicite de operator. Cele mai frcvente întrebări sunt legate de ce se întâmplă în situația în care sfaturile sau recomandările DPO sunt depășite sau eronate, ceea ce atrage vulnerabilități în privința rotecției datelor.  Un alt rol critic al DPO este acela de a prelua comunicarea cu persoanele vizate, în cazul în care acestea se prevalează de exercitarea drepturilor lor, în temeiul prezentului regulament.

Un alt punct important, în special în situația în care DPO își exercită activitățile ca extern, pentru una sau mai multe companii, este obligaţia de a respecta secretul și confidenţialitatea în ceea ce priveşte îndeplinirea sarcinilor sale. E clar că acest lucru trebuie reglementat printr-o secțiune specială a contractului individual de muncă sau a contractului de prestări de servicii. Astfel de reglementări trebuie să menționeze explicit care sunt categoriile de informații la care DPO are dreptul de acces, care este rolul său în prelucrarea efectivă a datelor și cum poate gira acesta condițiile asumate de organizație prin limitarea volumului de date procesate, siguranța comunicării sau a stocării.

Potrivit Alineatului 6 din Articolul 38: ”Responsabilul cu protecţia datelor poate îndeplini şi alte sarcini şi atribuţii. Operatorul sau persoana împuternicită de operator se asigură că niciuna dintre aceste sarcini şi atribuţii nu generează un conflict de interese.” Dar înainte de alte comentarii, haideți să vede care sunt sarcinile de bază ale unui DPO.

Ce atribuții aveți în calitate de DPO?

Condițiile minime pe care trebuie să le asigurați dacă aveți funcția de DPO sunt definite în Articolul 39:

  • Să informați și să consiliați organizația și angajații cu privire la obligațiile de a respecta GDPR și alte legi privind protecția datelor;
  • Să monitorizați respectarea GDPR și a altor legi privind protecția datelor, inclusiv gestionarea activităților interne de protecție a datelor;
  • Să consiliați activitățile organizației ce au legătură cu evaluările de impact privind protecția datelor;
  • Să instruiți personalul și să efectuați audituri interne;
  • Să fiți primul punct de contact pentru autoritățile de supraveghere și pentru persoanele fizice ale căror date sunt prelucrate (angajați, clienți etc.).

Dar poate cel mai important aspect al acestor atribuții este legat de faptul că, în îndeplinirea sarcinilor dvs. de DPO, trebuie să ţineți seama, în mod corespunzător (zice legea), dar cu maximă responsabilitate (zic cele mai bune practici) de riscul asociat operaţiunilor de prelucrare. Și aici trebuie să țineți seama atât de natura și de domeniul de aplicare, cât și de contextul şi scopurile prelucrării.

De ce calificare am nevoie pentru a deveni ofițer de protecție a datelor?

Responsabilul cu protecția datelor trebuie să aibă calitățile profesionale și cunoștințele profesionale adecvate recunoscute de legislația privind protecția datelor. În prezent, nu există o cerință expresă de a deține o anumită calificare sau certificare. Cu toate acestea, deținerea unei certificări  în conformitate cu GDPR este o modalitate eficientă de a demonstra cunoștințele experților. Conform GDPR, ca DPO trebuie să beneficiați de toate condițiile și tot suportul organizației pentru a avea acces la cele mai performante resurse de instruire.

Un DPO trebuie să fie independent. Acest lucru nu înseamnă neapărat că, în calitate de operator sau procesator, trebuie să numiți o persoană externă; rolul DPO poate fi îndeplinit de un angajat. Postul poate fi un rol cu ​​jumătate de normă sau combinat cu alte sarcini, însă, în îndeplinirea rolului, DPO trebuie să aibă o linie independentă de raportare și să fie împuternicit să raporteze direct comitetului fără intervenție. Ceea ce este important este faptul ca, pentru a-și îndeplini sarcinile, persoana desemnată trebuie să fie un profesionist în domeniul protecției datelor cu “cunoștințe de specialitate privind legislația și practicile privind protecția datelor“.

Recomandările Grupului de lucru Articolul 29

Printre numeroasele informații, ghiduri, texte de lege și documente extrem de utile publicate pe site-ul Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) poate fi găsit și descărcat ”Ghidul privind Responsabilul cu protecția datelor (‘DPO’). Publicat de grupul de lucru Articolul 29  în decembrie 2016 și revizuit în aprilie 2017, acest ghid are menirea de a oferi tuturor operatorilor informațiile cele mai pertinente privind necesitatea numirii unui responsabil cu protecția datelor, precum și principalele atribuții ale acestora.

Cu toate că Directiva 95/46/CE3 (încă aflată în vigoare) nu impune niciunei organizații să numească un DPO, această practică de numire a unui DPO s-a dezvoltat, de-a lungul anilor, în mai multe state membre. Anterior adoptării RGPD, grupul de lucru Articolul 29 a susținut că DPO reprezintă un punct important al responsabilității și că numirea unui DPO poate facilita respectarea și, în plus, poate reprezenta un avantaj competitiv pentru companii.

Pe lângă facilitarea respectării prin punerea în aplicare a instrumentelor de responsabilitate (cum ar fi facilitarea evaluărilor impactului asupra protecției datelor și efectuarea sau facilitarea auditurilor), DPO acționează ca intermediar între părțile interesate relevante (de exemplu autoritățile de supraveghere, persoanele vizate și liniile de business din cadrul unei organizații).

Este important de știut că DPO nu este personal responsabil în caz de nerespectare a RGPD. Regulamentul spune clar că responsabil este operatorul sau persoana împuternicită de operator care trebuie să se asigure și să fie în măsură să demonstreze că prelucrarea este efectuată în conformitate cu dispozițiile sale (Articolul 24, Alineat 1). Respectarea normelor de protecție a datelor reprezintă responsabilitatea operatorului sau a persoanei împuternicite de operator. Operatorul sau persoana împuternicită de operator are de asemenea un rol crucial în a permite îndeplinirea eficientă a atribuțiilor DPO. Numirea unui DPO reprezintă un prim pas, dar trebuie să se asigure că DPO are autonomie și resurse suficiente pentru îndeplinirea sarcinilor într-un mod eficient.

Care sunt situațiile în care poate apărea conflictul de interese?

Iarăși un aspect important și mult discuta și comentat privitor la rolul și atribuțiile DPO în cadrul unei organizații. Iată câteva considerații privitoare la Conflictul de interese extrase din Ghidul menționat mai sus.

Articolul 38, Alineatul 6 din GDPR permite DPO „să îndeplinească și alte sarcini și atribuții”. Cu toate acestea, este nevoie ca organizația să se asigure că „niciuna dintre aceste sarcini și atribuții nu generează un conflict”. Absența conflictului de interese este strâns legată de obligația de a acționa în mod independent. Cu toate că îi este permis să aibă și alte funcții, acestuia îi pot fi încredințate alte sarcini și atribuții cu condiția ca acestea să nu dea naștere unor conflicte de interese.

Acest lucru se referă mai ales la faptul că rolul de DPO nu presupune și libertatea de a stabili scopurile și mijloacele de prelucrare a datelor cu caracter personal. Acest lucru trebuie luat în considerare de la caz la caz, ținându-se cont de structura organizațională specifică fiecărei organizații. Ca regulă generală, funcții din cadrul organizației cu care poate intra în conflict pot include funcții de conducere (cum ar fi director executiv, director operațional, director financiar, șeful serviciului medical, șeful departamentului de marketing, șef departamentului de resurse umane sau șeful departamentului IT), dar, în același timp, și alte funcții inferioare dacă acestea conduc la posibilitatea de a stabili scopurile și mijloacelor de prelucrare.

În plus, un conflict de interese poate apărea, în situația în care un DPO extern este rugat să reprezinte operatorul sau persoana împuternicită de operator în instanță, în cazurile care implică probleme de protecție a datelor. În funcție de activitățile, dimensiunea și structura organizației, o bună practică pentru operatori și persoanele împuternicite de operatori ar putea fi:

  • să identifice funcțiile ce ar fi incompatibile cu funcția de DPO;
  • să elaboreze norme interne pentru a evita conflictele de interese;
  • să includă o explicație mai generală cu privire la conflictele de interese;
  • să declare că DPO nu are niciun conflict de interese în ceea ce privește funcția sa;
  • să includă garanții în normele interne ale organizației și să se asigure că anunțul de post vacant pentru funcția de DPO sau contractul de prestări servicii este suficient de precis și detaliat pentru a evita conflictul de interese.

În acest context, trebuie avut în vedere faptul că respectivele conflicte de interese mai pot lua diverse forme în funcție de faptul dacă DPO este recrutat intern sau extern.

Concluzionând, indiferent de organizație, sunteți liberi să numiți DPO, cu condiția să dispuneți de resurse pentru această poziție, iar persoana desemnată să aibă abilități suficiente pentru a-și îndeplini obligațiile stipulate de GDPR. Deși legea spune clar care sunt cazurile în care trebuie obligatoriu numit un DPO, conform grupului de lucru Articolul 29, în cazul în care considerați necesar, este recomandabil să numiți un DPO, care să corespundă tuturor condițiilor discutate până acum.  Obligațiile GDPR sunt de așa natură încât o consiliere și un sprijin pe care le avem la îndemână, din partea unui specialist în protecția datelor, pot fi un pas esențial pentru gestionare a riscurilor.

Urmăriți articolele publicate în cadrul inițiativei GDPR Ready!  În următorul material ne vom ocupa de condițiile de numire ale unui Data Protection Officer (DPO), precum și principalele sarcini ale acestuia.

A APĂRUT PRIMUL CATALOG GDPR DIN ROMÂNIA

Trustul de presă AGORA Group și platforma de knowledge cloud☁mania anunță publicarea Catalogului GDPR Ready – primul proiect editorial din România dedicat prezentării ofertelor de servicii și soluții pentru asigurarea conformității cu prevederile GDPR. Catalogul GDPR Ready face parte din seria de ghiduri ”Catalog Cloud Computing Romania”, ajunsă la a 7-a ediție și este o componentă esențială a inițiativei ”GDPR Ready!”

Faceți click pe coperta pentru a citi Catalogul GDPR online!

Din mai 2016 când Parlamentul European a aprobat Regulamentul EU 2016 – 679, GDPR a devenit cuvântul de ordine în toate mediile de business, tehnologice și sociale. Noul Regulament reprezintă cea mai importantă modificare a legislației privind protecția datelor personale în UE și la nivel global. 2018 va fi un an cu multă agitație, cu implicații majore nu numai pentru zona de IT, ci și pentru organizațiile guvernamentale și operatorii de date din orice industrie. Căci, până la urmă, toți suntem procesatori de date și toți ne vom supune acelorași reguli.

Deși este prin excelență tehnologică, industria IT este unul dintre domeniile în care realizarea conformității cu noul Regulament poate ridica cele mai mari probleme. Marea majoritate a companiilor sunt conștiente de importanța strategică a alinierii la prevederile GDPR, dar foarte puține sunt cu adevărat pregătite de acțiune. Ce au de făcut furnizorii de Cloud pentru a oferi servicii conforme cu GDPR? Dar operatorii de centre de date? Dar companiile de eCommerce și procesatorii de plăți online? Dar firmele de distribuție, canalele de reselleri și retailerii IT? Dar casele de software și ofertanții de servicii de call-center, consultanță, instruire și mentenanță? Există desigur multe lucruri comune pentru toate aceste domenii IT, dar și o multitudine de aspecte particulare.

Pe asta ne-am bazat când ne-am decis ca cea de-a 7 ediție a Catalogului Cloud Computing România să fie dedicată GDPR. Plecând de la vidul de cunoaștere și de coordonare din industria IT, am simțit nevoia editării unui Catalog GDPR Ready care să deservească și să ofere recomandări generale pentru operatorii de date din orice industrie. Catalogul GDPR Ready, este structurat în două părți:

  • Ghidul de orientare rapidă
  • Catalogul recomandărilor de soluții și servicii pentru asigurarea conformității GDPR.

”Ghidul de orientare rapidă” conține 60 de întrebări și răspunsuri structurate astfel încât să asigure o imagine de ansamblu asupra principalelor modificări prezentate de regulament, precum și a zonelor critice pe care trebuie să le cunoaștem în momentul pregătirii conformității, dar vine și cu o serie de recomandări oferite de experți internaționali, asociații guvernamentale și profesionale, precum și firme de analiză și cercetare.  Principalele Capitole acoperite de seria de întrebări despre conformitate se referă la:

  • Importanța GDPR
  • Scurt istoric al protecției datelor personale
  • Principiile GDPR
  • Drepturile persoanelor vizate
  • Protecția datelor personale
  • Evaluarea impactului
  • Transferul internațional de date
  • Asigurarea conformității
  • Notificarea breșelor de securitate și penalitățile aplicate

Ghidul este însoțit de recomandările unor experți care s-au referit la principalele direcții de acțiune pentru furnizorii de Cloud: Bart von Buitenen – managing partner White Wire, Ian Moyse – sales director Natterbox și Board member Cloud Industry Forum, Lucia Ștefan – manager consultant Archiva Ltd (UK) și Attle Skjekkeland – vicepreședinte AIIM Europe, precum și recomandările Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), CERT.RO, ANSII + câțiva dintre membrii săi și IDC Romania.

A doua secțiune este Catalogul recomandările concrete legate de asigurarea conformității GDPR oferite de vendori, integratori și distribuitori de soluții și servicii de securitatea informației, pachete de servicii asigurate de case de avocatură, companii de consultanță și firme specializate în instruire și certificări. Le mulțumim partenerilor de la ALEF Distribution, Archiva Ltd., ASBIS, AxelSoft, Commvault, Info World, IXIA, Omega Trust, Provision, Relational, Romsym Data, RQM Certification, Star Storage, Tryamm și Zitec  pentru că au participat alături de noi la acest proiect.

Publicarea Catalogului GDPR face parte din inițiativa GDPR Ready care reunește o mare diversitate de proiecte și activități menite să ajute operatorii și procesatorii de date din România:

  • Articole GDPR Explicitat – serie de 15 articole publicate pe site-ul cloud☁mania
  • Ghidul de orientare rapidă din Catalogul GDPR
  • Broșuri și eBook-uri
  • Studii de piață și analize
  • Parteneriate media
  • Organizare Evenimente GDPR
  • Moderare paneluri GDPR
  • Ședințe de instruire
  • Recomandări și consiliere companii de IT

GDPR zice că organizațiile trebuie să fie conforme chiar începând cu data 25 mai 2018. Dacă vă gândiți că până atunci mai este suficient tip pentru a demara activitățile de implementare a măsurilor necesare pentru asigurarea conformității GDPR, trebuie să țineți cont de faptul că durata medie a unui proces poate fi de PATRU – CINCI luni, în funcție de mărimea organizației și a tipului de date personale procesat. E TIMPUL SĂ TRECEM LA ACȚIUNE CHIAR ACUM! Au mai rămas 215 zile!

 

O amplă reuniune de forțe la cel mai important eveniment dezbatere dedicat GDPR

Evenimente, dezbateri, conferințe, webinarii, workshopuri, cursuri de certificare… Pe măsură ce ne apropiem de ”Ziua 0: 25 Mai 2018”,  o dată memorabilă pentru istoria modernă a proceselor de afaceri, se întețesc și de diversifică activitățile de sensibilizare a operatorilor și promovare a soluțiilor și serviciilor capabile să asigure conformitatea.  În peisajul local al activităților de acest gen, iese în evidență Evenimentul Dezbatere “Noua ordine europeană pentru protecția datelor personale” desfășurat în 12 Octombrie la sediul Muşat & Asociaţii din București.

”Suntem pregătiți pentru asigurarea conformității cu noul Regulament european?  Este o întrebare pe care o auzim tot mai des, în cele mai diferite medii, dar care din păcate este urmată destul de rar și de răspunsuri care să ne ofere o direcție de acțiune în acest amalgam de recomandări, articole și proceduri. Am început să înțelegem cu toții că obținerea conformității GDPR este un must, un lucru foarte serios pe care nu trebuie să îl trecem cu vederea, o abordare, pe care dacă nu o tratăm cu toată seriozitatea riscăm să pierdem enorm.

Un eveniment unicat pentru piața din România

Aflat deja la cea de-a treia ediție, evenimentul organizat de agenția de PR Concord Communication a beneficiat de suportul partenerilor principali: Mușat și Asociații, Clico Romania și Power Net Consulting și de participarea ANSSI (Asociația Națională pentru Securitatea Sistemelor Informatice). Prin ce iese în evidență acest eveniment față de alte acțiuni asemănătoare? În primul rând prin seriozitatea abordării A fost cu adevărat un eveniment dezbatere, unde participanții au avut posibilitatea să pună întrebări încă de la înregistrare și să și obțină răspunsurile dorite. Și s-a răspuns chiar la toate întrebările, atât la cele pre-adresate, cât și la cele spontane, din timpul evenimentului.

Un rol important în derularea coerentă a evenimentului l-a avut moderatorul Toma Cîmpeanu, CEO ANSSI, care a dirijat cu profesionalism și eleganță un adevărat maraton de prezentări și intervenții.  Căci evenimentul s-a făcut remarcat și prin larga concentrare de forțe a unor vectori, care deși acționează în zone diferite, s-u aliniat pe aceeași directoare, cu scopul declarat de a face mai mult decât o simplă sensibilizare a participanților. Reprezentanți guvernamentali, experți în legislație și probleme de securitate, avocați, furnizori de soluții IT, firme de consultanță și servicii de instruire, au contribuit la consolidarea unei agende din care n-au lipsit prezentările de ghiduri practice, aspecte legate de securitatea datelor cu caracter personal, obligațiile și responsabilitățile ofițerilor responsabili cu protecția datelor, transferurile de date, reguli corporative, date statistice și studii de piață, precum și oferte profesionale de instruire a viitorilor DPO.

Un alt aspect important: larga adresabilitate. Evenimentul “Noua ordine europeană pentru protecția datelor personale” s-a adresat companiilor și instituțiilor publice din cele mai diverse domenii, precum operatorii de utilități din energie, petrol și gaze, sau transport, sectorul financiar-bancar, sănătate, servicii publice, servicii Cloud computing, data center și eCommerce, motoare de căutare online, platforme de joburi, furnizori telecom, agenții de marketing sau operatori de turism.

Implicații juridice importante generate de noul regulament

Reprezentanții casei de avocatură Mușat & Asociații au avut un rol esențial în desfășurarea evenimentului, prin mai multe contribuții de valoare care au alterant prezentărilor de soluții tehnice. Astfel, avocatul Bogdan Mihai, Partener Mușat și Asociații a prezentat participanților un ghidul practic de implementare a măsurilor de conformitate GDPR,  în care sunt explicitate principalele cerințe ale noului Regulament și principalele obligații ale operatorilor și procesatorilor de date. O importanță majoră a noilor reglementări este operarea transferurilor de date personale către țări terțe sau organizații internaționale, care este supusă unor rigori suplimentare față de legislația precedentă.

Una dintre cele mai importante schimbări cu care vine noul regulament este severitatea sancțiunilor care vor fi impuse celor care nu pot dovedi că au făcut tot ce le stătea în putință pentru prevenirea și limitarea consecințelor în cazurile în care au avut loc scurgeri sau pierderi de date, cu implicații pentru posesorii acestora. Avocatul Bogdan Mihai a trecut în revistă care sunt principalele categorii de amenzi prevăzute și cele mai frecvente cauze care pot conduce la aplicarea acestora.

O altă noutate adusă de GDPR la care s-a făcut referire este dreptul persoanelor fizice de a cere companiilor ștergerea datelor personale – dreptul de a fi uitat. În multe situații posesorii datelor personale pot renunța la acordul dat într-o anumită conjunctură și au dreptul să solicite ștergerea informațiilor din toate bazele de date. Dificultăți pot apărea atunci când datele sunt stocate în Cloud și nu există garanția că pot fi șterse de pe toate serverele sau în cazul unor instituții speciale, precum cele bancare, care au nevoie de istoricul clienților în acțiunile de prevenirea a spălării banilor sau pentru alte clauze contractuale.

Alte aspecte deosebit de importante ridicate de noul regulament vizează reflectarea relațiilor dintre angajați și angajatori, prin prisma prevederilor din dreptul muncii. Anca Vătășoiu, avocat la Mușat & Asociații, s-a referit la noile obligații care pot sau nu să fie asociate cu răspunderea angajaților prin contractul de muncă. Există deja cazuri concrete în domeniul juridic, legate de monitorizarea și supravegherea angajaților la locul de muncă, în care încălcări clare ale regulamentelor interioare ale angajatorilor au fost contestate în spiritul drepturilor omului. Un alt aspect important discutat de doamna avocat Vătășoiu este răspunderea administrativă, disciplinară sau civilă a salariaților pentru încălcarea obligaților conferite de GDPR în România.

Cel mai titrat specialist GDPR din România

Un alt element cu totul special al evenimentului a fost prezența Comisarului Șef de Poliție Aurel Cătălin Giulescu, director împuternicit al Direcției de Evidență a Persoanelor și Administrarea Bazelor de Date, DPO certificat de EIPA, coordonatorul echipei MAI care a gestionat negocierile tehnice la nivel european, pentru elaborarea și adoptarea GDPR. Cu alte cuvinte, am avut onoarea să îl ascultăm și să discutăm cu cel mai titrat specialist GDPR din România, primul DPO cu atestare internațională și unul dintre cei mai mari experți în probleme de securitate a datelor personale.

Comisarul Șef Giulescu a făcut o expunere la obiect privitoare la numirea responsabilului cu protecția datelor, ce experiență trebuie să dețină și care sunt principalele atribuții. O atenție specială trebuie acordată unei bune înțelegeri a obligațiilor și responsabilităților pe care le are un DPO, care are rolul de liant între diferitele linii de business și compartimente ale unei organizații. De altfel, importanța acestui rol a fost subliniată și de faptul că majoritatea întrebărilor adresate a avut legătură cu poziția de DPO, iar ce e cel mai important, toate întrebările critice au primit răspuns.

Iată răspunsurile la cele două întrebări adresate de cloud☁mania, partener media al acestui eveniment:

I1: Există riscul ca un DPO să fie tras la răspundere în eventualitatea unui incident de pierdere a unor date, pasibil de expunere la penalități?

R1: Din perspectiva GDPR, un DPO nu poate fi tras la răspundere în mod direct și personal pentru incidente la nivelul unei organizații, ci organizația ca atare este cea penalizată. Evident, că există cazuri speciale în care un DPO care s-a dovedit clar ca ar fi principala sursă responsabilă de producerea unor pierderi de date, poate fi tras la răspundere potrivit regulamentelor și politicilor specifice organizației de care aparține.

I2: DPO este o persoană cu un rol special în cadrul unei organizații, care trebuie instruită și antrenată pentru a-și putea exercita cât mai eficient toate atribuțiile. Ce se întâmplă însă, în situațiile sau în perioadele în care DPO nu este disponibil pentru a-și exercita obligațiile, din diferite motive obiective sau subiective?

R2: Există recomandări în cadrul GDPR ca cel puțin pentru organizațiile mari și foarte mari să existe în permanență un ajutor de DPO sau cel puțin o persoană la fel de pregătită din cadrul echipei de coordonare, formată din reprezentanți ai tuturor departamentelor.  

Tehnologia ca sursă și ca panaceu al noilor riscuri

În condițiile în care actualizarea legislației privitoare la protecția datelor personale se datorează evoluției tehnologice, care diversifică substanțial poziția posesorului de date, tot tehnologiei îi revine rolul de a veni cu soluții care să rezolve noile probleme apărute. Astfel, noua prevedere legată de dreptul individual de solicitare a ștergerii datelor, ridică o serie de întrebări de natură tehnică: sunt șterse cu adevărat datele personale de pe un dispozitiv de stocare? Cum putem dovedi unui solicitant că datele sale au fost șterse de pe toate serverele unui sistem Cloud? Compania Tryamm Trading Consulting reprezentată de Cristian Aionesei, Managing Partner, a prezentat una dintre cele mai performante soluții de ștergere fizică și virtuală a datelor. Soluția Blancco Eraser asigură o ștergere permanentă a datelor, atestată de 18 organisme de certificare, atât în driverele unităților fizice de stocare, cât și în mediile virtuale și mobile.

Monitorizarea fluxului de date personale și securizarea acestora sunt două dintre cerințele de conformitate cu noul Regulament pentru protecția datelor personale.  Alina Pavel, Channel Manager Clico Romania a făcut o amplă trecere în revistă a soluțiilor se Securitate a datelor pe care compania le furnizează pe piața din România. Unul dintre cele mai cunoscute branduri reprezentate este PaloAlto Networks, care oferă o platformă ce îmbină soluții firewall de ultimă generație cu elemente de protecție la nivel de stație și analiză la nivel de Cloud a pericolelor cibernetice ce pot afecta o companie. ForcePoint este o soluție de ”data loss prevetion”, care protejează atât datele de pe sistemele fixe, cât și cele din rețea, din Cloud sau din bazele de date mobile.

Un alt brand reprezentat de Clico este Imperva, furnizor de soluții de securizare și auditarea a bazelor de date și aplicații Web care asigură funcționalități de securitate prin minimizarea datelor, limitarea accesului utilizatorilor, pseudonimizare, anonimizare sau transfer securizat. Soluția MobileIron este forte utilă pentru aplicare politicilor BYOD, separând datele personale de pe orice dispozitiv mobil, de cele folosite în scop profesional. Clico oferă consultanță, cursuri de training și soluții de pre si post vânzare pentru toate aceste soluții.

Puterea exemplului Cisco

Un alt moment important al evenimentului a fost conexiune de la distanță cu unul dintre specialiștii Cisco Systems implicați direct în procesul de implementare GDPR la nivel de corporație. Astfel, grație echipamentelor de videoconferință Cisco, am putut asculta povestea de succes prezentată de la Bruxelles de Lorena Marciano, DPO Cisco Systems Europe. În eforturile de implementare GDPR și susținere a ecosistemului de parteneri, Cisco a optat pentru o strategie bazată pe puterea exemplului. Ce garanție mai bună de compatibilitate pentru soluțiile oferite, decât faptul că sunt folosite pentru implementarea propriei conformități? În fine, plecând de la acest proces de best practices, Cisco vine pentru partenerii săi cu o serie de recomandări, care încep cu consolidarea unei echipe multidisciplinare, alegerea unui program cadru care să funcționeze pentru organizație, stabilirea obiectivelor și priorităților, inventarierea datelor și analiza de risc, evaluarea nivelului de maturitate al sistemelor de protecție a datelor, utilizarea facilităților existente și rezolvarea rapidă a lacunelor de securitate.

Studiile de piață arată că nu suntem pregătiți

Sursa: Power Net Consulting

În vara acestui an, compania Power Net Consulting a realizat un studiu printre directorii IT ai unor companii private din Romania. Scopul principal al studiului a fost realizarea unei radiografii a nivelului de pregătire a companiilor, pe baza unui eșantion reprezentativ. Studiul a fost axat pe câteva direcții principale de cercetare, fiecare direcție fiind însoțită de un set de întrebări. Principalele tematici vizate au fost:

  • Cât de informate sunt companiile cu privire la noile reglementări GDPR?
  • Există proceduri interne conforme?
  • Care sunt problemele majore de conformitate?
  • Ce soluții IT și-au propus companiile să implementeze?
  • Care este nivelul actual de pregătire al organizațiilor?

Iată câteva dintre cele mai relevante rezultate ale studiului prezentate de Emil Munteanu, Managing Partner Power Net Consulting: deși 79% dintre companiile chestionate pe tema pregătirii pentru implementarea Regulamentului UE 679/2016 sunt informate despre aceste subiect, doar 14% dintre acestea au persoane nominalizate pentru funcția de responsabil cu prelucrarea datelor personale. De asemenea, 57% dintre respondenți au recunoscut că până în prezent nu au revizuit sau nu au actualizat politicile de securitate existente, iar 50% nu au făcut încă o evaluare internă a datelor cu caracter personal prelucrate. Un alt aspect îngrijorător relevat de acest studiu este că doar 36% din respondenți au instruit GDPR personalul care se ocupă cu problemele de securitate, 18% au organizat traininguri GDPR interne și doar 11% au reevaluat contractele cu furnizorii. Dintre soluțiile IT pe care companiile și-au propus să le adopte în vederea conformității GDPR se numără: Data Loss Prevention (75%), Network Protection (68%) și Encription/ Tokenization/ Pseudonomization (61%).

Cum certificăm un DPO în România?

Compania RQM Certification, partener PECB pentru România, a oferit o prezentare a serviciilor de pregătire profesională pentru poziția de Certified Data Protection Officer. Această certificare permite specialiștilor desemnați să dobândească expertiza necesară pentru a înțelege riscurile care ar putea avea un impact negativ asupra organizației oferindu-le cunoștințele pentru a implementa strategia necesară, pe baza celor mai bune practici, cerințe și principii GDPR. Cursurile DPO beneficiază de certificarea PECB, un furnizor de certificări pentru standarde ISO cu recunoaștere internațională.  Prin parteneriatul cu PECB, compania RQM Certification poate asigura în România obținerea certificărilor pentru standardele ISO 9001, ISO/TS 16949, ISO 31000, ISO 14001 și ISO 27001.

 

Concluzionând, evenimentul “Noua ordine europeană pentru protecția datelor personale” marchează o certă maturizare  a preocupărilor legate de GDPR pe piața din România, cu o evidentă determinare în depășirea fazei de conștientizare, cu trecere la planificare  și acțiune concretă. Prezența celui mai titrat specialist GDPR din România care a răspuns la toate întrebările, implicarea casei de avocatura Mușat și Asociații, videoconferința cu DPO Cisco de la Bruxelles, prezentarea de soluții concrete de securizare a proceselor și a datelor, studiul de piață realizat de Power Net Consulting precum și cursurile de certificare DPO deja existente pe piață, au contribuit la succesul acestui eveniment. Felicitări tuturor celor implicați și în special organizatorului Concord Communication.  

Sursă fotografii: Concord Communiction

Invitație la Dezbaterea Națională ”Different City – Smart City”

Sunt orașele din România pregătite pentru transformarea digitală? Adică pentru o iluminare stradală făcută cu cap și acolo unde este nevoie? Pentru spații de parcare inteligente, unde să nu te trezești cu mașina zgâriată? Pentru soluții ecologice de management al deșeurilor, altceva decât simple containere de reciclare devenite focare de infecții? Pentru un transport în comun modernizat, care să sigure descongestionarea traficului din zonele centrale? Pentru sisteme de garare Park & Ride, conectate la transportul în comun, în toate punctele de intrare ale marilor orașe?

Puteți afla răspunsuri la aceste întrebări prin soluțiile și studiile de caz care vor fi discutate laDifferent City-Smart City. Dezbatere Națională 2017-2020” – eveniment care reunește primari, manageri și specialiști în servicii publice, precum și experți în soluții pentru o administrare modernă a orașelor –  care se va desfășura pe 24 și 25 octombrie la București, la hotelul Ramada Plaza, Sala Terra, cu începere de la ora 8:00.  

Aflată la a doua ediție, Dezbaterea își propune să asigure cadrul necesar promovării conceptului de Smart City și să contribuie la generarea unui real flux de inovare la nivelul administrațiilor publice și a mediului de afaceri. Realitatea demonstrează că este o continuă nevoie de un parteneriat public-privat eficient, capabil să genereze, să coordoneze și să finalizeze proiecte smart city, care să asigure o reală creștere a calității vieții în comunitățile urbane.

Printre principalele teme de dezbatere abordate în cadrul evenimentului se vor număra:

  • accelerarea deciziilor autorităților publice pentru adoptarea soluțiilor smart în beneficiul cetățenilor, mediului de afaceri, turiștilor și administrației,
  • promovarea soluțiilor inteligente pentru administrarea și funcționarea orașului și transformarea lui în Smart City cu ajutorul unor platforme și soluții specifice
  • Identificarea domeniilor de interes comun pentru viitoarele implementări și parteneriate în domeniul smart city.

Dar ”Smart City” nu este numai o etichetă pe care o poate afișa orice primărie care a demarat un proiect de modernizare. Smart City este o atestare a faptului că o comunitate urbană a reușit să facă pași importanți în procesul de transformare digitală. Un oraș inteligent este reprezentat în primul rând de comunitățile inteligente care locuiesc și muncesc într-un areal urban. Dezvoltarea urbană accelerată și suprapopularea orașelor sunt printre cele mai critice provocări pe care noul val de tehnologii digitale le are de rezolvat. Peste 50% din populația Globului trăiește azi în mediile urbane și contribuie cu peste 80% din GDP-ul mondial.

Știm că orice oraș are probleme cu infrastructura, cu fluidizarea traficului, cu parcările, cu iluminatul, cu securitatea publică sau cu reducerea poluării. Pe de altă parte orașele sunt hub-uri pentru business, campusuri academice, centre culturale sau nuclee de știință. Pe măsura dezvoltării urbane e nevoie de redimensionarea serviciilor, estimarea dinamicii și controlul costurilor.

Evenimentul Dezbatere de la București este susținut de Ambasada Olandei, reprezentată de doamna ambasador Stella Ronner- Grubačić și va fi moderat de Marius Bostan, fost ministru al comunicațiilor și pentru societatea informațională. Un mare număr de speakeri internaționali va fi prezent pentru a-și împărtăși experiențele de implementare a unor soluții inteligente.

Agenda evenimentului conține un bogat program de prezentări de soluții și tehnologii dedicate orașelor inteligente. Dell EMC – partener principal al evenimentului, va prezenta o platformă deschisă de date menită să ofere cetățenilor și întreprinderilor o perspectivă de acces la datele administrației publice, precum informații despre poluarea mediului sau fluxurile de trafic. Digitax va veni București cu o noutate de ultim moment, o platformă ce permite tuturor instituțiilor să acționeze într-un mod ușor, rapid și interconectat. Synergetics Corporation va prezenta o aplicație GIS pentru gestiunea datelor urbane și automatizarea serviciilor de urbanism.

Autoritățile publice preocupate de iluminatul stradal adaptat nevoilor specifice vor avea la alegere mai multe solutii. Compania TVILIGHT B.V din Olanda împreună cu firmele românești Total Strada și Cybernetics  International, vor prezenta  soluții de iluminat public inteligent, care permit adaptarea automată a intensității luminoase în funcție de trafic și monitorizarea în timp real. O soluție de iluminat inteligent va fi prezentată de Telekom Romania, în cadrul portofoliului său de produse smart city în care regăsim cele mai noi soluții de parcare și managementul mobilității, siguranță publică și supraveghere video.

Low Power Smart City Italia în parteneriat cu Universitatea Tor Vergata din Roma, ENEA (Institutul Național pentru Tehnologii Noi, Energie și pentru dezvoltare economică durabilă) și cu Centrul Național de Cercetare pentru Dezvoltare (CNR), va prezenta rezultatul cercetărilor de crearea a unor noi modalități de comunicare în domeniul eficienței energetice. În domeniul managementului deșeurilor, Green Group va prezenta SIGUREC, o soluție inteligentă pentru colectare selectivă a deșeurilor reciclabile, iar Arctos va prezenta un sistem inteligent de cântărire și identificare a pubelelor. Companiile VMB Partners și Avisso specializate în servicii de consultanță financiară, vor oferi celor interesați soluții de susținere financiară a proiectelor Smart City.

A doua zi a Dezbaterii este dedicată unor întâlniri bilaterale de afaceri, oferind participanților ocazia de a discuta aplicat despre accelerarea proceselor de implementare a soluțiilor Smart City, dar și un bun prilej pentru viitoare parteneriate.

Dacă sunteți interesați de Informații complete despre eveniment, agendă, vorbitori și companiile participante pot fi găsite pe pagina oficială a Dezbaterii.

Dacă doriți să participați, nu trebuie decât să accesați linkul către Formularul de înregistrare.  

Partener Principal: Dell EMC

Parteneri Silver: Telekom România, Digitax, Low Power Smart City Italia, Green Grup, Arctos, TVILIGHT Olanda, Cybernetics International, Aedillia Olanda, Synergetics Corporation, Avisso.

Parteneri: Țucă Zbârcea și Asociații, Intrarom, VMB Partners

Organizatori: Concord Communication, Different Angle Cluster, Fundația Națională a Tinerilor Manageri

GDPR în distribuția IT: Calamitate sau Oportunitate?

Noul Regulament european privitor la protecția datelor poate avea un efect de bumerang. A apărut din nevoia de aliniere a drepturilor cetățeanului european la evoluția tehnologică a mijloacelor de recoltare, comunicare, procesare și stocare a datelor personale.

Deși cauza poate fi privită ca tehnologică prin excelență, punerea în aplicare a GDPR este un proces esențialmente de business, care prin implicații poate fi asimilat cu un mare pas înainte în procesul ireversibil de transformare digitală. Poate avea tandemul business-tehnologie un rol de perpetuum mobile? Cu siguranță, atâta timp cât în centrul oricărei politici de dezvoltare stă individul și drepturile sale fundamentale.

Care sunt problemele specifice GDPR în distribuția IT?

Revenind cu picioarele pe Pământ, ne aflăm încă într-o fază în care, din lipsa unor bune practici,  analizăm GDPR din toate perspectivele în scopul identificării celor mai eficiente și sigure proceduri de obținere a conformității. Și pentru că industria IT este oarecum în miezul acestei vâltori stârnită de iminenta apropiere a datei de 25 Mai 2018, haideți să vedem care sunt implicațiile GDPR pentru una dintre cele mai dinamice zone: distribuția IT.

Canalele și politicile de distribuție ale vendorilor reprezintă o încrengătură foarte încurcată dar sunt totuși rădăcinile care alimentează esența pieței IT. Tipologia ecosistemului ce caracterizează o rețea de distribuție e foarte complexă: distribuitori, wholeselleri, reselleri, VAR-i, integratori de sistem, firme de servicii și consultanță, retaileri, showroom-uri, magazine online, precum și o complicată subrețea de furnizori de servicii de logistică, depozite, curierat, transporturi, case de credite și de asigurări, și altele. Schema fluxului de informații dintr-un astfel de ecosistem  nu poate fi decât super complexă. De aici și dificultatea oricărui demers de identificare și mapare a fluxurilor de date existente la nivelul unei rețele.

Dar cum regulile GDPR nu se aplică unei structuri de parteneriate, ci unor operatori de date individuali, orice proces de implementare a noului regulament trebuie pornit de la entitățile individuale. Dar nici aici lucrurile nu sunt simple. Să luăm de exemplu un distribuitor de dimensiuni medii, care are contracte teritoriale de distribuție pentru 15-20 de branduri, cu proveniență din diferite zone ale lumii. Într-un proces clasic de distribuție rolul unui astfel de distribuitor este cel de procesator – sau intermediar, verigă într-un flux de date care vine dinspre cei care lucrează direct cu utilizatorul final, și merge către un vendor, care în majoritatea cazurilor are și rolul de operator de date.

Colectarea datelor personală este paralelă cu procesul de vânzare, multe dintre soluțiile distribuite având asociată obligativitatea furnizării de date despre utilizatorul final, fie elemente de identificare asociate cu licențele software perpetue, fie identificatori de logare – în cazul soluțiilor Cloud, fie date asociate documentelor de garanție și mentenanță specifice echipamentelor hardware. Din punctul de vedere al atribuțiilor  GDPR, un distribuitor este în marea majoritate a cazurilor procesator de date, cu subordonare de business în relație cu vendorii, care au rolul de operatori. Păstrând această perspectivă, un reseller va avea întotdeauna o poziție de sub-procesor față de fiecare dintre distribuitorii cu care lucrează.

De multe ori vendorii nu sunt nici ei beneficiari direcți ai datelor personale, având tot o poziționare de procesator în relațiile de distribuție cu alte entități. Pe de altă parte, apare des situația în care un distribuitor sau un reseller poate fi chiar el operator de date. Să ne gândim doar la departamentele de resurse umane care gestionează relațiile cu angajații sau la cele de marketing, unde sunt generate campanii direct către clienții finali sau către rețelele de parteneri. Identificarea tuturor acestor scenarii e deosebit de importantă, pentru ca de aici pornește orice proiect de evaluare a fluxurilor de informații în vederea studierii implementării conformității cu GDPR.

Primul panel de GDPR organizat de o firmă de distribuție

După mai mult de 10 ani de experiență directă în business development și gestionarea canalelor de distribuție, am avut recent un bun prilej de a reintra în atmosfera rețelelor de distribuție și a discuta despre importanța înțelegerii corecte a cerințelor GDPR pentru aceste procese de business. Prilejul a fost oferit de ALEF Distribution, care după câte știu eu, este prima mare companie de distribuție care a organizat o discuție pe tema GDPR în cadrul evenimentului anual pentru parteneri, desfășurat între 5 și 7 octombrie.

Ca moderator al acestui panel dedicat soluțiilor de securitate și GDPR, pentru care am ales ca titlu generic ”GDPR, calamitate sau oportunitate?”, am focalizat de la început întrebările pe câteva direcții majore: cele mai mari provocări pe care eforturile de aliniere la cerințele GDPR le aduce la nivelul unui canal de distribuție, cum abordează vendorii această problemă și ce avantaje și instrumente oferă aceștia partenerilor din lanțul de distribuitori. Mesajul general transmis celor peste 150 de parteneri ai companiei ALEF care au participat la dezbaterile panelului a fost că adopția normelor GDPR nu trebuie să fie o piedică pentru orice companie, atâta vreme cât își face o autoevaluare obiectivă, stabilește riscurile și prioritățile, și parcurge riguros toate procedurile necesare.

Mai mult de atât, orice membru al unui ecosistem de distribuție trebuie să își ajute clienții să parcurgă aceiași pași importanți, oferindu-le cele mai adecvate soluții pentru asigurarea conformității GDPR și protecția datelor personale. Cu alte cuvinte, toți partenerii, de la vendori, la distribuitori și până la reseleri, au o imensă oportunitate de a face recomandări și a vinde cele mai avansate soluții.

Panelul de discuții  s-a bucurat de prezența unor reprezentanți ai unor importanți vendori, care derulează relații de distribuție cu compnia ALEF. Participanții la panel au fost: Florin ROȘIE – Territory Channel Manager SMB Microsoft Romania, Dan Găvojdea – Cyber Security Specialist Cisco Systems, Gabriel PAVEL – Balkan Sales Director Fujitsu, Iulian HARS – Pre-sale Engineer Kaspersky Lab Romania precum și un reprezentant al autorității publice, Nelu MUNTEANU, Director Tehnic CERT.RO.

Este pregătită România pentru GDPR?

A fost prima întrebare generală adresată peneliștilor, din dorința de a discuta percepția asupra nivelului național de conștientizare al importanței GDPR în rândul operatorilor de date. Nu întâmplător, primele comentarii legate de această întrebare au venit de la reprezentantul CERT.RO. Și am spus că nu întâmplător, datorită faptului că Centrul Național de Răspuns la Incidente de Securitate Cibernetică a avut o implicare majoră în campaniile de conștientizare, oferirea de ghiduri și recomandări,  divulgarea coordonată și responsabilă a vulnerabilităților și, nu în ultimul rând, asigurarea cadrului necesar schimbului de informații între producătorii de echipamente și soluții de securitate, autorități și utilizatori. De menționat că Octombrie este Luna europeană a securității cibernetice, iar CERT.RO este direct implicată într-o multitudine de activități de conștientizare a pericolelor care pândesc în mediile online.

Sunt pregătiți vendorii și partenerii lor de canal? 

A fost următoarea întrebare, absolut firească, adresată vendorilor. Și absolut firesc, toți vendorii reprezentați  în panel au confirmat comitmentul companiei de a fi GDPR compliant, dar și de a ajuta partenerii și clienții în acest proces cu informații și resurse.

Microsoft a fost unul dintre primii vendorii care și-a anunțat compatibilitatea GDPR pentru toată gama de produse, inclusiv tot ce ține de Azure și suita de Office în Cloud. Mai mult de atât, compania a făcut un pas înainte pentru parteneri, deschizând siteul dedicat GDPR, www.microsoft.com/gdpr unde orice partener are posibilitatea să acceseze un pachet de utilitare menit să îl asiste în evaluarea compatibilității  www.gdprbenchmark.com. Cum folosesc partenerii Microsoft din România aceste resurse? Asta rămâne de văzut.

Cisco a optat pentru altă strategie: puterea exemplului. Ce garanție mai bună de compatibilitate pentru soluțiile oferite, decât faptul că sunt folosite pentru implementarea propriei conformități? În fine, plecând de la acest proces de best practices, Cisco vine pentru partenerii săi cu o serie de recomandări, care încep cu consolidarea unei echipe multidisciplinare, alegerea unui program cadru care să funcționeze pentru organizație, stabilirea obiectivelor și priorităților, inventarierea datelor și analiza de risc, evaluarea nivelului de maturitate al sistemelor de protecție a datelor, utilizarea facilităților existente și rezolvarea rapidă a lacunelor.

La rândul său, Fujitsu a preferat să demareze procesul GDPR la nivelul propriei organizații, dorind să confere astfel partenerilor și clienților un nivel de încredere sporit în soluțiile companiei. Strategia Kaspersky este axată pe ideea de bază că GDPR trebuie abordat ca pe o oportunitate pentru ștergerea, administrarea și protejarea datelor personale. Acțiunea este comparată cu un proces de detoxfiere a datelor, ce va ajuta businessul să economisească, să devină mai competitive și să fie gata pentru provocările viitoare. Pe lângă propriile soluții de securitate a datelor oferite de Kaspersky Lab, compania mai recomandă ședințe de instruire pentru angajații din toate departamentele, pentru a controla și preveni incidentele și amenințările de securitate de natură internă. Pentru parteneri și clienți Kaspersky a postat online un chestionar de autoevaluare ”Ești pregătit pentru GDPR?” https://www.gdprkaspersky.com/

Transformarea GDPR într-o oportunitate

Iată câteva considerente care ar trebui să stea la baza unei strategii de ofertare a celor mai adecvate soluții de securitate a datelor, fără a mai include aici și alte tipuri de soluții precum cele de procesare, stocare și arhivare :

O mai mare libertate tehnologică – Un avantaj important al GDPR este că nu prescrie tehnologii specifice de protecție a datelor – cum ar fi un anumit algoritm de criptare, de exemplu – și, prin urmare, nu le exclude automat pe altele. În schimb, sunt prescrie procese, ceea ce înseamnă că partenerii ar avea mai multă libertate de a alege dintr-o paletă de soluții provenite de la o vareitate de furnizori.

Scenarii de pierdere a datelor și soluții recomandate – într-o viziune generală, există un număr relativ limitat de scenarii interne și de pericole externe de amenințare care pot conduce la apariția unui caz de pierdere a datelor personale :

  • Pierderi de date fără valoare, dacă sunt găsite – cu alte cuvinte, aplicarea metodele de criptare care păstrează datele în siguranță dacă un dispozitiv cu informații personale sau profesionale de identificare a acestuia este pierdut sau furat.
  • Distrugerea și ștergerea de la distanță – există soluții care elimină cu ușurință datele de pe dispozitivele pierdute sau furate și le fac inutilizabile.
  • Prevenirea pierderilor de date – Soluțiile DLP pot controla tipul și sensibilitatea datelor pe care utilizatorii le transferă în interiorul sau în afara organizației.
  • Blocarea aplicațiilor – soluții de control a tipurilor de aplicații care pot sau nu rula pe un computer terminal.
  • Virtual patching – ajută la stoparea exploatării de la distanță a vulnerabilităților
  • Detectarea încălcării – semnalarea rețelelor compromise permite utilizatorilor să blocheze tentativa de furt de date.

O piață în plină evoluție – un sondaj recent arată că 69% dintre companiile europene  nu numai că vor investi în tehnologii de securitate ca rezultat al GDPR, ci și în domenii precum partajarea fișierelor. Estimările IDC indică o oportunitate de piață de 3,5 miliarde de dolari pentru furnizorii de securitate și stocare și pentru partenerii lor.

Vom reveni în articolele viitoare cu discutarea oportunităților oferite de GDPR în activitatea de distribuție IT.

GDPR explicitat (10): Importanța evaluărilor de impact (DPIA)

 

AU MAI RĂMAS 227 de zile!

Una dintre practicile recomandate pentru evaluarea riscurilor și impactului pe care îl poate avea procesarea datelor personale în anumite condiții, este efectuarea unui studiu de impact asupra protecției sau confidențialității datelor, cunoscut sub denumirea generică de DPIA (Data Protection Impact Assessment) sau mai popular PIA (Privacy Impact Assessment).

Iată-ne ajunși la cel de-al 10-lea ”episod” din seria de articole GDPR Explicitat. După ce în articolul precedent am prezentat și comentat responsabilitatea și guvernanța în viziunea GDPR, în acest articolul ne ocupăm de evaluarea impactului pentru protecția datelor.

Ce este Data Protection Impact Assessment (DPIA)

Cum protecția datelor trebuie gândită acum ”by design”, fiind proiectată în mod implicit odată cu sistemele de procesare, pot apărea o multitudine de situații în care se recomandă evaluarea de impact asupra protecției datelor. O bună practică pentru noile tehnologii și procese este de a evalua dacă prelucrarea are un “risc ridicat”, dacă  aduce atingere drepturilor persoanelor vizate și dacă acest risc poate fi redus sau evitat, de exemplu prin pseudonimizare. Evaluările de impact sunt absolut necesare în cazul în care există o prelucrare automată și prelucrarea unor categorii speciale de date pe scară largă.

Evaluarea impactului privind protecția datelor (DPIA) – în versiunea mai populară mai des folosit ca Privacy Impact Assesment (PIA), reprezintă un instrument care poate ajuta organizațiile să identifice cea mai eficientă modalitate de a se conforma obligațiilor lor privind protecția datelor și de a răspunde așteptărilor individuale de confidențialitate. O evaluare de impact eficientă va permite organizațiilor să identifice și să remedieze problemele într-un stadiu incipient, reducând riscurile, costurile asociate și deteriorarea reputației, legată de apariția oricărui incident.

Evaluarea DPIA este parte integrantă a proiectării unei abordări privind confidențialitatea prin design. Punctele cheie ale unei astfel de evaluări sunt:

  • DPIA este un proces care ajută organizațiile să identifice și să minimizeze riscurile de confidențialitate ale proiectelor sau politicilor noi;
  • Efectuarea unei evaluări de impact implică lucrul cu oamenii din organizație, dar și cu partenerii, pentru a identifica și a reduce riscurile de confidențialitate;
  • Evaluarea vă ajuta la identificarea unor potențiale probleme într-un stadiu cât mai incipient, când remedierea poate să fie mai simplă și mai puțin costisitoare;
  • Realizarea unei evaluări de impact asupra confidențialității ajută organizațiile să elaboreze și să adopte cele mai bune politici de îmbunătățire a relațiilor dintre organizații și indivizi.

Când ar trebui să facem o evaluare DPIA?

În acord cu bunele practici, trebuie să efectuați o DPIA atunci când:

  • utilizarea noilor tehnologii impune asumarea unui anumit grad de risc;
  • prelucrarea este susceptibilă să genereze un risc ridicat pentru drepturile și libertățile persoanelor.

Procesarea care poate duce la un risc ridicat include, dar nu se limitează la acestea:

  • activități de prelucrare sistematice și extinse, inclusiv profilarea;
  • prelucrări în care deciziile care au efecte juridice – sau efecte similare, asupra persoanelor fizice;
  • prelucrarea pe scară largă a unor categorii speciale de date sau date cu caracter personal în legătură cu condamnările sau infracțiunile penale.

În general, trebuie avute în vedere orice activități care includ prelucrarea unor cantități considerabile de date cu caracter personal la nivel regional, național sau supranațional, care afectează un număr mare de indivizi și care  implică un risc ridicat pentru drepturi și libertăți.

Ce informații ar trebui să conțină DPIA?

Orice evaluare de impact trebuie să conțină:

  • descrierea operațiunilor de prelucrare și a scopurilor, inclusiv (dacă este cazul) a intereselor legitime urmărite de operator;
  • evaluarea necesității și proporționalității procesării în raport cu scopul;
  • evaluarea riscurilor pentru persoane fizice;
  • măsurile luate pentru a reduce riscul, inclusiv securitatea și pentru a demonstra că vă conformați;
  • numărul proiectelor similare care pot fi vizate de aceeași evaluare.

Beneficiile unei evaluări de impact asupra protecției datelor

Realizarea unei evacuări de impact pentru protecția datelor nu este o obligație a persoanei desemnate ca DPO. Acesta este o activitate de echipă, cu participanți din toate liniile de business. DPO poate coordona procesul de evaluare, poate face recomandări și trebuie să asigure alinierea la cerințele de conformitate. După elaborare, rolul DPO este acela de a ajuta organizația să folosească evaluarea de impact ca pe un instrument de conformare cu protecția datelor personale.

Chiar dacă efectuarea unui studiu de impact nu este o cerință legală, în anumite conjuncturi, autoritatea națională sau teritorială de supraveghere poate adresa o cerere oricărei organizații să realizeze o evaluare DPIA. Totodată, o evaluare de impact PIA, poate fi modul cel mai eficient pentru o organizație de a demonstra autorității de supraveghere modul în care prelucrarea datelor personale respectă cerințele de securitate și confidențialitate. În același timp, posesorii datelor personale pot fi asigurați că organizațiile care procesează informațiile lor urmează cele mai bune practici de securitate și confidențialitate. Un proiect care a fost supus unei evaluări PIA ar trebui să fie garantat ca un proces care are cele mai puțin ridicate riscuri de afectare intruzivă a datelor personale.

Un al doilea beneficiu pentru persoanele fizice este acela că PIA ar trebui să se asigure transparența în procesul de comunicare și de cunoaștere a modului în care sunt utilizate informațiile personale. Realizarea și publicarea unui raport de evaluare PIA va ajuta orice organizație să construiască relații de încredere cu oamenii care folosesc serviciile lor. Acțiunile întreprinse în timpul și după ce procesul de evaluare pot îmbunătăți experiența organizațiilor în relațiile de înțelegere cu clienții lor.

Nu trebuie desconsiderate beneficiile financiare pe care le poate aduce efectuarea unei evaluări de impact. Orice identificarea a unei probleme, într-o fază cât mai timpurie, va necesita o soluție mai puțin costisitoare. O evaluare de impact poate reduce, de asemenea, costurile unui proiect, prin minimizarea cantității de informații colectate, procesate și stocate.

În general, utilizarea consistentă a unei evaluări de impact va spori gradul de conștientizare a problemelor de confidențialitate și de protecție a datelor în cadrul unei organizații. Asta ne asigură că toți cei implicați în procesul de prelucrare sunt conștienți de importanța înțelegerii și păstrării acestor norme, încă din primele etape ale unui proiect.

Urmăriți articolele publicate în cadrul inițiativei GDPR Ready!  În următorul material ne vom ocupa de condițiile de numire ale unui Data Protection Officer (DPO), precum și principalele sarcini ale acestuia.

Star Storage’s annual B2B event: a real Digital Innovation Fest

The autumn events season started last week with a true technology innovation festival organized by Star Storage, the global provider of modern information protection and management solutions for top public and private organizations.

 Organised in the very inspirational location from Stejarii Country Club, the Digital Innovation Fest event brought together technology professionals, various business lines specialists and international analysts interested in the most relevant topics of the moment, like digital transformation, regulation compliance – including GDPR, and associated risk management.

Addressing company’s customers from the most powerful industries like financial services, utilities, telecoms, manufacturing, and also the public sector, Digital Innovation Fest 2017 was a well-received event, changing the perspective we are looking to innovative technologies and putting us in the position of the main engine of the digital transformation process.

Digital Innovation Fest participants had the opportunity to meet and discuss with global leaders in information management, enriching their knowledge and experience, and exploring new digital ways to make the difference in their industry. International speakers delivered key answers to hottest topics of the moment, showing most efficient ways to solve the specific problems.

The DIF opening keynote was sustained by Catalin Paunescu, CEO Star Storage, which presented company’s credentials, based on a continuous innovative process in business solutions design. Star Storage’s solution and services portfolio is creating value for individuals, using digital technologies with a positive impact on their work and private lives.

The company’s key achievements are related to top technologies adoption, providing to the clients:

  • increased compliance & risk reduction through unified information governance;
  • appreciable cost savings and time to market acceleration by rethinking operations and processes;
  • customer loyalty increasing and revenue growth through improved customer experience;
  • new revenue streams and new business models to reach new markets;
  • the art to do more with less.

All these achievements was sustained by an ambitious Go To Market Strategy in the international markets with most dynamic average growth like Enterprise Information Archiving (EIA) with US$ 3 billion Market size 2018, Enterprise Document and Data Capture (US$2.6 billion in 2018), or  Electronic Medical Records (EMR  – US$17.43 billion in 2018 market size). Star Storage international expansion is based on more than 100 global alliance partners, powerful system integrators, consulting and regional partners.

“We have now a solutions portfolio that meets the real challenges of the business environment and can make a difference both at the level of organizations and at the level of each individual and society, said Catalin Paunescu, CEO Star Storage during his opening keynote. “ We strongly believe that technology is not only aimed at increasing business efficiency, the technology is designed to help people – from work efficiency to office to contributing to a healthier life through effective healthcare management and effective communication with healthcare staff through telemedicine”.

One of the most appreciated presentation from opening session was keynote intervention sustained by Atle Skjekkeland, Senior Vice President at AIIM (The Association for Information and Image Management). Atle is an experienced technologist, educator, and innovator. His interest in the future of information management with social, mobile, Cloud and big data has made him a frequent keynoter and workshop facilitator at events across the world. Atle is also the architect behind AIIM’s training programs with close to 30,000 students.

During his presentation in Bucharest, Atle discussed the main issues opened by digital transformation to enterprise-sized organizations, presenting the most important 4 ways to improve productivity and ensure compliance in the new digital era.

According to a Forrester survey of business executives, the very significant business problems impact on Enterprise IT level is related to:

  • High Cost of Ownership (91% of survey participants)
  • Difficult Upgrades (87%)
  • Poor Cross-Functional Processes (86%)
  • What the Apps Deliver Doesn’t Match Business Requirements (80%)
  • Inflexibility Limits Process Change (75%).

The 4 ways enterprises could improve productivity and ensure compliance in the new digital era are related to:

  • Enterprise level engagement – opening mobile access to ECM systems, facilitating the mobile capture, content creation and commenting, and adoption of mobile interaction processes.
  • Automating business processes – increasing business productivity by removing paper-based
  • Facilitating insight actions – by process optimization, access improvement to vital data and applications, and a radical change in employees’ behaviour.
  • Adopting effective control policies, based on assumed risks, and GDPR compliance.

Another very interesting and well-documented keynote was the presentation of The top 10 strategic technologies, trends & predictions for 2017-2018, sustained by Lukas Erben, Vendor Executive Manager at KPC – a Gartner Group covering Czech Republic’s, Slovakian, and Romanian territory.  Lukas is a Gartner specialist with more than 20 years of professional IT and tech writing, consulting and publishing background. As Vendor Executive Manager, Lukas is helping CEOs, CTOs and other executives to maximize the value of their investment in Gartner, in key areas like strategic development or product and service innovation.

According to Gartner’s research, the top technologies trends are related to three essential fields which involve specific technologies like:

  • Intelligent: Advanced Machine Learning & AI, Intelligent Apps, and Intelligent Things;
  • Digital: Augmented & Virtual Reality, Digital Twin, and Blockchain & Distributed Ledger
  • Mesh: Mesh App & Service Architecture, Digital Technology Platforms, and Adaptive Security Architecture.

Let’s summarize few of the Intelligent Digital Mesh trends until 2020:

  • AI (Artificial Intelligence) will be a primary battleground for service providers;
  • 20% of enterprises will employ dedicated people to train neural networks;
  • 46% of the customer-perceived value proposition of products and services will be digital;
  • 30% of Web browsing sessions will be without a screen;
  • Algorithms will positively alter the behaviour of Billions of global workers;
  • IoT Will Increase Data Center Storage Demand by Less Than 3%;
  • Most IoT-generated data will not be stored or retained.

 

According to a Gartner survey named “The 2017 CIO Agenda: Seize the Digital Ecosystem Opportunity”, the key technologies having the most potential to change the organization over the next five years are:

  • 81% Advanced Analytics
  • 48% Internet of Things
  • 43% Digital Security
  • 40% Business Algorithms
  • 22% Machine Learning
  • 19% Virtual Customer Assistants
  • 13% Augmented Reality
  • 10% Blockchain
  • 7% Autonomous Vehicles
  • 6% Smart Robots

 

A very good example of digital adoption in real life was the story presented by Alex Padureanu, CEO of Hospices of Hope, showing how innovative technologies could contribute with a very high impact on patients in the field of palliative care. The Hospices of Hope is a project that aims to radically improve patient services through patient-to-patient communication with mobile devices and advanced technologies like virtual reality.

Hospices of Hope is one of the most important networks developing palliative care in Eastern Europe. Based in the United Kingdom, Alex is responsible to coordinate the activity of the local team and the organization in the US, having a non-executive role in the country partner organizations (Romania, Serbia, and Moldova). To ensure that as many patients as possible receive palliative care Hospices of Hope concentrate on two areas of work:

  • direct support and treatment for patients and their families;
  • increasing the awareness and availability of palliative care through training.

 

One of the most important healthcare project from Romania in the last period is the implementation of STATUS Healthcare Hub to Casa Sperantei, a communication platform developed by Star Storage that enables doctors and medical services providers to interact with their patients and exchange information in a secure and friendly environment. Main STATUS ability is to provide efficient management of EMR (Electronic Medical Records) offering data mobility and accessibility to complete medical files based on data coming from medical systems, from field doctors, and from patients. The files are containing a recording of medication and assistance for correct drug administration, being able to provide easy and instant access from anywhere and anytime to complete patient records.

STATUS Healthcare Hub is offering also the transparent promotion of medical services by keeping up to date doctor profile relating healthcare specialities training and medical expertise. The solution is based on a safe environment for storage and transfer of medical data. Once fully implemented at Casa Sperantei, STATUS can increase the number of consultations with up to 50% offering better communication and interactivity. As recognition of the value of STATUS Healthcare Hub implementation, Star Storage’s solution received “Best Cloud services for vertical market” award during EuroCloud Awards 2015 contest.

About Star Storage 

Star Storage is a global technology provider developing and delivering state-of-the-art information protection and management solutions for top private and public organizations. With more than 17 years of experience, own Intellectual Property and a portfolio of 500 customers on 4 continents, with strong expertise in top industries such as banking, insurance, telecom, manufacturing, utilities and public administration, the company play a key role in the digital transformation, mobile and cloud journey of any size organization.

Images Source: Star Storage

%d bloggers like this: