Sunt furnizor de Cloud. Cum pot obține conformitatea GDPR?

Bart van Buitenen

Bart van Buitenen

 

Bart van Buitenen este managing partner al White Wire, o firmă de consultanță de tip boutique specializată în servicii de protecție a datelor pentru organizațiile de îngrijire a sănătății, IMM – uri și companii de tehnologie din întreaga UE.

 

 

Dacă sunteți un furnizor de Cloud, cu sau fără sediu în UE, este foarte probabil că o parte din datele pe care le prelucrați sunt pe teritoriu european sau privesc persoane care au un domiciliu stabil în UE, și atunci trebuie să vă aliniați la reglementările GDPR. Termenul specific care indică un furnizor care procesează date personale în numele unei organizații este cel de Procesator.

Până acum, o mare atenție se punea pe rolul de “Operator”, adică organizația care este responsabilă cu determinarea mijloacelor și scopurilor procesării, fără să se acorde o prea mare atenție rolului procesatorului. Și iată că față de legislația anterioară, GDPR schimbă multe lucruri în legătură cu obligațiile procesatorului, de exemplu în ceea ce privește răspunderea, responsabilitate și o serie de noi obligații. Iată câteva dintre cele mai importante aspecte pe care cred că furnizorii de Cloud ar trebui să le aibă în vedere, cu toată seriozitatea, până pe 25 mai 2018.

1. Acordurile de prelucrare a datelor

Operatorii sunt cei care trebuie să ofere instrucțiuni specifice procesatorilor, iar astfel de instrucțiuni trebuie să fie documentate în așa-numitele “Acorduri de prelucrare a datelor”. Astfel de acorduri nu sunt noi: ele au fost, de asemenea, impuse în temeiul legislației europene anterioare privind protecția datelor (Directiva 95/46 și, prin urmare, au devenit aplicabile prin legislația fiecărui stat membru), dar în practică acorduri corecte și concrete sunt destul de greu de găsit… Cele mai multe organizații nu au fost conștiente de cerința unor acorduri de procesare a datelor, iar pentru furnizorii de Cloud, acest lucru însemna, de obicei, mai multă muncă și responsabilități, fără prea multe avantaje în schimb.

Acest lucru s-a schimbat în GDPR: Articolul 28 menționează în mod specific acordurile de prelucrare a datelor și arată în detaliu ce ar trebui să includă. Spre deosebire de anii precedenți, furnizorii de Cloud au acum un stimulent clar pentru a încheia acorduri de prelucrare. Acordul trebuie să includă instrucțiunile pentru furnizorul de Cloud și, ca atare, devine un factor foarte important în stabilirea răspunderii. (Articolul 82, Alineatul 2).

Sfaturi:

  • Fiți proactivi, nu așteptați ca operatorul să va propună primul acordul de procesare a datelor! Astfel, veți avea posibilitatea de a vă propune propriul model de contract și, în același timp, veți arăta clientului că pentru dvs. nu există secrete în GDPR.

2. Subcontractorii

Acordurile de prelucrare a datelor trebuie să fie încheiate cu clienții dvs., dar furnizorii de Cloud au adesea proprii lor subcontractori. În lumea IT, utilizarea subcontractorilor este ceva normal, iar mulți subcontractori vor fi într-adevăr procesatori pentru furnizorul de Cloud. Din perspectiva clienților care folosesc Cloudul (operatorii), acești subcontractori sunt deci ”subprocesatori”. Un furnizor de Cloud trebuie să ceară permisiunea operatorului de a utiliza subprocesatori, ceea ce ar trebui să se regăsească și în acordul dvs. de procesare (a se vedea secțiunea 1). Utilizarea de subprocesatori poate fi acoperită printr-o permisiune generică sau o permisiune specifică pentru fiecare subprocesator. Procesatorul rămâne responsabil, astfel încât acordurile cu subprocesatorii trebuie să aibă un grad ridicat de încredere pe lista furnizorilor de Cloud.

Sfaturi:

  • Solicitarea unei permisiuni specifice poate fi un o provocare. Cereți o permisiune generică și oferiți clienților posibilitatea de a consulta oricând o listă completă de subprocesatori, de ex. prin publicarea acestei liste pe o pagină dedicată de pe site-ul dvs.

 3. Înregistrarea activităților de prelucrare

Fiecare operator trebuie să mențină o evidență a activităților de procesare: un instrument de evidență sau un document care detaliază diferitele activități de prelucrare a datelor cu caracter personal din cadrul organizației. O versiune mai puțin riguroasă a acestei evidențe trebuie să fie menținută de procesator, dar care totuși trebuie să includă toate activitățile de procesare derulate pentru clienții săi.

Sfaturi:

  • Crearea unei astfel de evidențe a activităților de procesare va oferi o cunoaștere valoroasă în identificarea datelor pe care le procesați și ar trebui să fie una dintre primele acțiuni într-un plan de implementare GDPR.
  • Organizațiile se pierd, uneori, în detalii; rețineți că GDPR nu vă cere să mapați fiecare câmp de date, este vorba despre evidența activităților care se mapează destul de strâns cu serviciile oferite clienților.
  • Nu păstrați un registru pentru fiecare client; doar asigurați-vă că puteți asocia clienții cu activitățile de procesare prin includerea serviciilor pe care le oferiți pentru fiecare client în sistemul dvs. CRM sau în baza de date cu clienții.

4.Transferuri în afara UE

Atunci când datele cu caracter personal ale clienților din UE sunt transferate în țări din afara Uniunii este important ca datele să beneficieze de aceleași sisteme de protecție și garanții ca și în interiorul granițelor UE.

Sfaturi: Pentru a facilita astfel de transferuri, GDPR include mai multe mecanisme care fac acest lucru posibil, dintre care cele mai răspândite sunt:

  • Decizii de adecvare: atunci când UE a stabilit că o țară din afara UE (sau un acord specific cu o astfel de țară, de ex. Privacy Shield cu SUA) oferă o protecție adecvată.
  • Reguli corporative obligatorii (BCR – Binding Corporate Rules): multe companii multinaționale au subsidiare în țări din afara UE. Documentația BCR asociată unei organizații trebuie să se asigure că un transfer de date personale în afara UE, dar în cadrul aceleiași organizații, oferă aceleași garanții de protecție. Autoritățile de protecție a datelor trebuie să valideze BCR înainte ca prevederile să fie aplicate.
  • Clauze contractuale standard (SCC – Standard Contratual Clauses): sunt contracte predefinite, validate de Comisia Europeană, ce conțin toate garanțiile de protecție necesare pentru transferurile în afara UE.

5. Securitatea informațiilor sau protecția datelor

Securitatea informațiilor și protecția nu sunt aceleași. Securitatea informațiilor se referă la toate informațiile, care includ datele cu caracter personal. Protecția datelor se referă la toate aspectele legate de prelucrarea datelor cu caracter personal, care includ securizarea informațiilor. Deci, în același timp există o suprapunere clară, dar și o diferență semnificativă.

Acestea fiind spuse, asigurarea informațiilor împotriva accesului neautorizat, pierderii sau distrugerii este un aspect foarte important în cadrul GDPR. Pe scurt, acest aspect al GDPR poate fi rezumat prin menținerea confidențialității, integrității și disponibilității (cunoscută și sub numele de CIA) datelor personale pe care un furnizor de Cloud le procesează. Rețineți că orice încălcare a acestor principii ale CIA (de exemplu, încălcări ale datelor) va trebui să ducă la o notificare către operator, care, la rândul său, va trebui să notifice autoritățile de protecție a datelor și persoanele vizate, dacă riscurile potențiale ale încălcării sunt destul de ridicate.

Sfaturi:

  • Alinierea inițiativelor GDPR la guvernarea securității informațiilor. De exemplu, standardul ISO27001 poate fi combinat cu principiile de protecție a datelor pentru a oferi un cadru care să abordeze atât securitatea informațiilor, cât și protecția datelor.
  • Gândiți și documentați o procedură de notificare înainte de a avea practic nevoie de ea.
  • Examinați necesitatea de numi un ofițer de protecție a datelor (DPO). Chiar și atunci când clienții individuali nu sunt obligați să numească unul, este posibil ca un furnizor de Cloud să fie nevoit să numească unul.

6. Obligația de asistare și notificare

Procesatorii sunt obligați să asiste sau să notifice operatorii atunci când au informații despre faptul că un operator trebuie să îndeplinească cerințele GDPR, cum ar fi executarea DPIA sau notificările de încălcare a datelor menționate anterior.

Sfaturi:

  • Documentați (de exemplu, în contractul de procesare sau în alt contract) cum trebuie să aibă loc asistența: cum ar trebui să se facă o cerere, în ce termen va răspunde furnizorul de Cloud și dacă există costuri asociate asistenței.

7. Fiecare procesator este, de asemenea, un operator

Rețineți că este foarte probabil ca furnizorii de Cloud să fie în același timp și procesatori și operatori de date în nume propriu. Unele departamente precum HR, Furnizori, Clienți pot efectua prelucrări de date cu caracter personal, caz în care trebuie să se supună acelorași principii ale GDPR.

Sfaturi:

  • Păstrați înregistrări separate privind activitățile de procesare (vezi secțiunea 3) pentru activitățile de operator și procesator.

 

Acest articol a fost publicat in primul Catalog GDPR Ready editat in Romania. Puteti vedea versiunea online AICI. Catalog GDPR Ready, pag. 50-53, Agora Group & cloud☁mania, Bucuresti, Octombrie 2017

 

Advertisements

Cum să alegi inteligent în noua lume a GDPR-ului

Acest articol a fost publicat de Star Storage în Catalogul GDPR Ready, Octombrie 2017

Conformitatea cu reglementările impuse de Regulamentul General privind Protecția Datelor (GDPR) adoptat la nivelul Uniunii Europene in aprilie 2016 şi aplicabil din mai 2018 trebuie să reprezinte mai mult decât o nouă căsuță de bifat. Implementarea corectă a sistemelor și a procese lor solicitate de GDPR va ajuta organizațiile să evite penalizări potențiale semnificative, de până la 4% din cifra de afaceri globală, dar va fi de asemenea și o oportunitate pentru creșterea eficienței întregii afaceri.

Cu toate că suntem asaltați de o cantitate imensă de conținut pe această temă lucrurile sunt pe departe de a fi clare și încă planează o stare de confuzie în ceea ce privește soluțiile care pot ajuta la respectarea reglementărilor destul de stricte ale GDPR.

10 întrebări pe care să le ai în vedere când îți alegi furnizorul soluției tale de GDPR

1.Care sunt principalele provocări pentru a construi o politică proprie de gestionare a informației conformă cu GDPR? Câteva dintre provocările cheie care trebuie luate în considerare sunt:

  • Afectarea performanței datorată creșterii volumului de informații (număr, mărime, retenție, tipurile de documente care trebuie administrate);
  • Conținutul nestructurat – care reprezintă mai mult de 70% din volumul total de informații;
  • Diferite formate și sisteme – informații utile stocate într-o multitudine de sisteme (ERP, CRM,
  • Document Management, aplicații de business etc.) și în formate diferite;
  • Dispersia geografică – informații utile și sensibile stocate în diverse locații fizice și logice.

2.Organizația ta și potențialul furnizor înțeleg importanța metadatelor? Adevărul este că nu există conținut nestructurat ci doar conținut fără metadate. iar fără metadate, conținutul este o aglomerație de „ceva nediferențiat” care așteaptă să fie administrat. Metadatele sunt cheia, iar principalele direcții vizează:

  • Implementarea schemelor de metadate – definirea aspectelor relevante pentru diferite obiective specifice ale organizației tale;
  • Transformarea conținutului nestructurat în conținut valoros – prin tehnologii precum OCR (recunoașterea optică a caracterelor), ICR (recunoașterea inteligentă a caracterelor), „speech-to-text” și alte tehnologii care adresează extragerea de conținut.

3.Cum poate asigura soluția răspunsul prompt și eficient la solicitările de acces la date (DSAR)? Gestionarea corectă a metadatelor permite identificarea datelor și facilitează identificarea informațiilor corecte și relevante de către ofițerul de conformitate a datelor. Ai nevoie de o soluție care să ofere căutare avansată bazată pe metadate (șabloane de căutare, subscripții la șabloane de căutare, conceptul de „search in search”). Dar metadatele nu sunt suficiente – o căutare completă în text trebuie să fie rulată de mai multe ori atunci când conținutul sau metadatele sunt ascunse în documentele nestructurate. Pe lângă funcționalitățile de căutare trebuie avută în vedere și modalitatea în care se face navigarea și afișarea informațiilor căutate astfel încât utilizatorul să ajungă cât mai ușor la conținutul potrivit.

4.Cum permiți partajarea conținutului securizat între clienți/ parteneri și consultanți externi? Menținerea unui echilibru între acces (necesitatea de a cunoaște) și protecție / conformitate nu este ușoară. Trebuie luat în considerare schimbul de informații în afara companiei fără a pierde controlul sau a modifica locația informațiilor, dar și partajarea în siguranță a informațiilor folosind autentificarea în 2 pași pentru utilizatorii externi. În contextul GDPR soluția trebuie să respecte reglementările cu privire la datele cu caracter personal (trimiterea automată a notificărilor, acces temporizat) și să ofere suplimentar o experiență plăcută de utilizare (fără să fie nevoie de intervenția personalului IT).

5.În ce măsură ofițerii de conformitate ai companiei tale au vizibilitate asupra volumelor mari de informații în contextul noului regulament GDPR, astfel încât să poată lua decizii rapide și eficiente? Un tablou centralizator al indicatorilor GDPR care să ofere vizibilitate asupra cantităților mari de date va ajuta cu siguranță ofițerul de date să vadă imaginea de ansamblu, dar și să detalieze anumite subiecte specifice (distribuirea documentelor în funcție de tipul de informație cu caracter personal, topul politicilor de conformitate necorespunzătoare, active neconforme clasificate in funcție de tipul acestora și alte activități și notificări legate de GDPR: retragerea acordului, solicitări de acces, solicitări de ștergere a datelor, consimțământ parental).

6.Care este experiența utilizatorilor si cum va fi afectat departamentul IT după implementarea unei soluții de GDPR? Multe implementări la nivel enterprise au dat greș nu din cauza lipsei rigorii tehnice ci mai degrabă din cauza unei experiențe insuficiente la nivelul utilizatorilor. O soluție cu o interfață puternică, dar simplă, va crește gradul de adopție a utilizatorilor, fără a compromite funcționalitățile dedicate utilizatorilor și va reduce în același timp gradul de încărcare al departamentului IT.

7.Cine poate accesa datele de business, în ce circumstanțe și cu ce drepturi de vizualizare? Este acest proces auditabil? Recomandarea este să protejați conținutul în funcție de ceea ce este (metadate asociate) și nu în funcție de unde este acesta stocat astfel încât să plecați de la început cu avantajul unei soluții construită pe principiul „Privacy by Design”. Și în această situație metadatele stau la baza construirii politicilor dinamice de securitate care pot fi ușor definite și aplicate de către utilizatorii obișnuiți, fără intervenția personalului IT. Întreabă de asemenea dacă este complet auditabilă fiecare modificare asupra conținutului și meta datelor asociate pentru asigurarea conformității cu GDPR.

8.Cum se poate demonstra că o persoana și-a dat consimțământul asupra prelucrării datelor sale personale? O posibilă abordare este o soluție care sa permită managementul consimțământului cu ajutorul semnăturii biometrice (semnătura avansată) într-o manieră lizibilă / inteligibilă. Aceasta oferă o dovadă sigură, fiind legată în mod unic de semnatar și implicit de datele acestuia, astfel încât orice schimbare ulterioară a datelor este detectabilă.

9.Cum asigură soluția „dreptul de a fi uitat”? O mare parte din respectarea acestei cerințe se referă la politicile de păstrare a documentelor care pot fi aplicate conform nomenclatorului arhivistic, categoriei de conținut (bazat pe metadate) sau politicilor de distrugere a conținutului pe mai multe etape atunci când perioada de retenție expiră. Întreabă cum se face auditarea termenelor expirate pentru documentele care conțin date cu caracter personal și trimiterea notificărilor asociate excepțiilor, dacă soluția are funcționalități pentru criptarea metadatelor asociate datelor cu caracter personal și setări pentru distrugerea digitală a documentelor care conțin date cu caracter personal.

10.Unde trebuie instalată soluția GDPR? Un element cheie aici este păstrarea flexibilității la un nivel maxim pe măsură ce tehnologia se schimbă. Se poate folosi hardware-ul existent? Dacă alegi, poți să beneficiezi de puterea și scalabilitatea cloud-ului public? Este soluția la fel de ușor de folosit pe medii hybride, on-premise și cloud?

Ce este SEAL?

SEAL este un sistem integrat pentru administrarea unificată a arhivelor fizice și electronice care ajută companiile să protejeze, reutilizeze și partajeze în siguranță tot conținutul de afaceri, respectând normele legale și noile reglementări GDPR. Construit pentru era digitală, în care cloud-ul și mobilitatea reprezintă concepte cheie, SEAL redefinește experiența de utili zare printr-o interfață intuitivă și puternică disponibilă inclusiv pe iOS și Android pentru un nou nivel de productivitate.

 Mai multe detalii: http://www.seal-online.com


 

GDPR în distribuția IT: Calamitate sau Oportunitate?

Noul Regulament european privitor la protecția datelor poate avea un efect de bumerang. A apărut din nevoia de aliniere a drepturilor cetățeanului european la evoluția tehnologică a mijloacelor de recoltare, comunicare, procesare și stocare a datelor personale.

Deși cauza poate fi privită ca tehnologică prin excelență, punerea în aplicare a GDPR este un proces esențialmente de business, care prin implicații poate fi asimilat cu un mare pas înainte în procesul ireversibil de transformare digitală. Poate avea tandemul business-tehnologie un rol de perpetuum mobile? Cu siguranță, atâta timp cât în centrul oricărei politici de dezvoltare stă individul și drepturile sale fundamentale.

Care sunt problemele specifice GDPR în distribuția IT?

Revenind cu picioarele pe Pământ, ne aflăm încă într-o fază în care, din lipsa unor bune practici,  analizăm GDPR din toate perspectivele în scopul identificării celor mai eficiente și sigure proceduri de obținere a conformității. Și pentru că industria IT este oarecum în miezul acestei vâltori stârnită de iminenta apropiere a datei de 25 Mai 2018, haideți să vedem care sunt implicațiile GDPR pentru una dintre cele mai dinamice zone: distribuția IT.

Canalele și politicile de distribuție ale vendorilor reprezintă o încrengătură foarte încurcată dar sunt totuși rădăcinile care alimentează esența pieței IT. Tipologia ecosistemului ce caracterizează o rețea de distribuție e foarte complexă: distribuitori, wholeselleri, reselleri, VAR-i, integratori de sistem, firme de servicii și consultanță, retaileri, showroom-uri, magazine online, precum și o complicată subrețea de furnizori de servicii de logistică, depozite, curierat, transporturi, case de credite și de asigurări, și altele. Schema fluxului de informații dintr-un astfel de ecosistem  nu poate fi decât super complexă. De aici și dificultatea oricărui demers de identificare și mapare a fluxurilor de date existente la nivelul unei rețele.

Dar cum regulile GDPR nu se aplică unei structuri de parteneriate, ci unor operatori de date individuali, orice proces de implementare a noului regulament trebuie pornit de la entitățile individuale. Dar nici aici lucrurile nu sunt simple. Să luăm de exemplu un distribuitor de dimensiuni medii, care are contracte teritoriale de distribuție pentru 15-20 de branduri, cu proveniență din diferite zone ale lumii. Într-un proces clasic de distribuție rolul unui astfel de distribuitor este cel de procesator – sau intermediar, verigă într-un flux de date care vine dinspre cei care lucrează direct cu utilizatorul final, și merge către un vendor, care în majoritatea cazurilor are și rolul de operator de date.

Colectarea datelor personală este paralelă cu procesul de vânzare, multe dintre soluțiile distribuite având asociată obligativitatea furnizării de date despre utilizatorul final, fie elemente de identificare asociate cu licențele software perpetue, fie identificatori de logare – în cazul soluțiilor Cloud, fie date asociate documentelor de garanție și mentenanță specifice echipamentelor hardware. Din punctul de vedere al atribuțiilor  GDPR, un distribuitor este în marea majoritate a cazurilor procesator de date, cu subordonare de business în relație cu vendorii, care au rolul de operatori. Păstrând această perspectivă, un reseller va avea întotdeauna o poziție de sub-procesor față de fiecare dintre distribuitorii cu care lucrează.

De multe ori vendorii nu sunt nici ei beneficiari direcți ai datelor personale, având tot o poziționare de procesator în relațiile de distribuție cu alte entități. Pe de altă parte, apare des situația în care un distribuitor sau un reseller poate fi chiar el operator de date. Să ne gândim doar la departamentele de resurse umane care gestionează relațiile cu angajații sau la cele de marketing, unde sunt generate campanii direct către clienții finali sau către rețelele de parteneri. Identificarea tuturor acestor scenarii e deosebit de importantă, pentru ca de aici pornește orice proiect de evaluare a fluxurilor de informații în vederea studierii implementării conformității cu GDPR.

Primul panel de GDPR organizat de o firmă de distribuție

După mai mult de 10 ani de experiență directă în business development și gestionarea canalelor de distribuție, am avut recent un bun prilej de a reintra în atmosfera rețelelor de distribuție și a discuta despre importanța înțelegerii corecte a cerințelor GDPR pentru aceste procese de business. Prilejul a fost oferit de ALEF Distribution, care după câte știu eu, este prima mare companie de distribuție care a organizat o discuție pe tema GDPR în cadrul evenimentului anual pentru parteneri, desfășurat între 5 și 7 octombrie.

Ca moderator al acestui panel dedicat soluțiilor de securitate și GDPR, pentru care am ales ca titlu generic ”GDPR, calamitate sau oportunitate?”, am focalizat de la început întrebările pe câteva direcții majore: cele mai mari provocări pe care eforturile de aliniere la cerințele GDPR le aduce la nivelul unui canal de distribuție, cum abordează vendorii această problemă și ce avantaje și instrumente oferă aceștia partenerilor din lanțul de distribuitori. Mesajul general transmis celor peste 150 de parteneri ai companiei ALEF care au participat la dezbaterile panelului a fost că adopția normelor GDPR nu trebuie să fie o piedică pentru orice companie, atâta vreme cât își face o autoevaluare obiectivă, stabilește riscurile și prioritățile, și parcurge riguros toate procedurile necesare.

Mai mult de atât, orice membru al unui ecosistem de distribuție trebuie să își ajute clienții să parcurgă aceiași pași importanți, oferindu-le cele mai adecvate soluții pentru asigurarea conformității GDPR și protecția datelor personale. Cu alte cuvinte, toți partenerii, de la vendori, la distribuitori și până la reseleri, au o imensă oportunitate de a face recomandări și a vinde cele mai avansate soluții.

Panelul de discuții  s-a bucurat de prezența unor reprezentanți ai unor importanți vendori, care derulează relații de distribuție cu compnia ALEF. Participanții la panel au fost: Florin ROȘIE – Territory Channel Manager SMB Microsoft Romania, Dan Găvojdea – Cyber Security Specialist Cisco Systems, Gabriel PAVEL – Balkan Sales Director Fujitsu, Iulian HARS – Pre-sale Engineer Kaspersky Lab Romania precum și un reprezentant al autorității publice, Nelu MUNTEANU, Director Tehnic CERT.RO.

Este pregătită România pentru GDPR?

A fost prima întrebare generală adresată peneliștilor, din dorința de a discuta percepția asupra nivelului național de conștientizare al importanței GDPR în rândul operatorilor de date. Nu întâmplător, primele comentarii legate de această întrebare au venit de la reprezentantul CERT.RO. Și am spus că nu întâmplător, datorită faptului că Centrul Național de Răspuns la Incidente de Securitate Cibernetică a avut o implicare majoră în campaniile de conștientizare, oferirea de ghiduri și recomandări,  divulgarea coordonată și responsabilă a vulnerabilităților și, nu în ultimul rând, asigurarea cadrului necesar schimbului de informații între producătorii de echipamente și soluții de securitate, autorități și utilizatori. De menționat că Octombrie este Luna europeană a securității cibernetice, iar CERT.RO este direct implicată într-o multitudine de activități de conștientizare a pericolelor care pândesc în mediile online.

Sunt pregătiți vendorii și partenerii lor de canal? 

A fost următoarea întrebare, absolut firească, adresată vendorilor. Și absolut firesc, toți vendorii reprezentați  în panel au confirmat comitmentul companiei de a fi GDPR compliant, dar și de a ajuta partenerii și clienții în acest proces cu informații și resurse.

Microsoft a fost unul dintre primii vendorii care și-a anunțat compatibilitatea GDPR pentru toată gama de produse, inclusiv tot ce ține de Azure și suita de Office în Cloud. Mai mult de atât, compania a făcut un pas înainte pentru parteneri, deschizând siteul dedicat GDPR, www.microsoft.com/gdpr unde orice partener are posibilitatea să acceseze un pachet de utilitare menit să îl asiste în evaluarea compatibilității  www.gdprbenchmark.com. Cum folosesc partenerii Microsoft din România aceste resurse? Asta rămâne de văzut.

Cisco a optat pentru altă strategie: puterea exemplului. Ce garanție mai bună de compatibilitate pentru soluțiile oferite, decât faptul că sunt folosite pentru implementarea propriei conformități? În fine, plecând de la acest proces de best practices, Cisco vine pentru partenerii săi cu o serie de recomandări, care încep cu consolidarea unei echipe multidisciplinare, alegerea unui program cadru care să funcționeze pentru organizație, stabilirea obiectivelor și priorităților, inventarierea datelor și analiza de risc, evaluarea nivelului de maturitate al sistemelor de protecție a datelor, utilizarea facilităților existente și rezolvarea rapidă a lacunelor.

La rândul său, Fujitsu a preferat să demareze procesul GDPR la nivelul propriei organizații, dorind să confere astfel partenerilor și clienților un nivel de încredere sporit în soluțiile companiei. Strategia Kaspersky este axată pe ideea de bază că GDPR trebuie abordat ca pe o oportunitate pentru ștergerea, administrarea și protejarea datelor personale. Acțiunea este comparată cu un proces de detoxfiere a datelor, ce va ajuta businessul să economisească, să devină mai competitive și să fie gata pentru provocările viitoare. Pe lângă propriile soluții de securitate a datelor oferite de Kaspersky Lab, compania mai recomandă ședințe de instruire pentru angajații din toate departamentele, pentru a controla și preveni incidentele și amenințările de securitate de natură internă. Pentru parteneri și clienți Kaspersky a postat online un chestionar de autoevaluare ”Ești pregătit pentru GDPR?” https://www.gdprkaspersky.com/

Transformarea GDPR într-o oportunitate

Iată câteva considerente care ar trebui să stea la baza unei strategii de ofertare a celor mai adecvate soluții de securitate a datelor, fără a mai include aici și alte tipuri de soluții precum cele de procesare, stocare și arhivare :

O mai mare libertate tehnologică – Un avantaj important al GDPR este că nu prescrie tehnologii specifice de protecție a datelor – cum ar fi un anumit algoritm de criptare, de exemplu – și, prin urmare, nu le exclude automat pe altele. În schimb, sunt prescrie procese, ceea ce înseamnă că partenerii ar avea mai multă libertate de a alege dintr-o paletă de soluții provenite de la o vareitate de furnizori.

Scenarii de pierdere a datelor și soluții recomandate – într-o viziune generală, există un număr relativ limitat de scenarii interne și de pericole externe de amenințare care pot conduce la apariția unui caz de pierdere a datelor personale :

  • Pierderi de date fără valoare, dacă sunt găsite – cu alte cuvinte, aplicarea metodele de criptare care păstrează datele în siguranță dacă un dispozitiv cu informații personale sau profesionale de identificare a acestuia este pierdut sau furat.
  • Distrugerea și ștergerea de la distanță – există soluții care elimină cu ușurință datele de pe dispozitivele pierdute sau furate și le fac inutilizabile.
  • Prevenirea pierderilor de date – Soluțiile DLP pot controla tipul și sensibilitatea datelor pe care utilizatorii le transferă în interiorul sau în afara organizației.
  • Blocarea aplicațiilor – soluții de control a tipurilor de aplicații care pot sau nu rula pe un computer terminal.
  • Virtual patching – ajută la stoparea exploatării de la distanță a vulnerabilităților
  • Detectarea încălcării – semnalarea rețelelor compromise permite utilizatorilor să blocheze tentativa de furt de date.

O piață în plină evoluție – un sondaj recent arată că 69% dintre companiile europene  nu numai că vor investi în tehnologii de securitate ca rezultat al GDPR, ci și în domenii precum partajarea fișierelor. Estimările IDC indică o oportunitate de piață de 3,5 miliarde de dolari pentru furnizorii de securitate și stocare și pentru partenerii lor.

Vom reveni în articolele viitoare cu discutarea oportunităților oferite de GDPR în activitatea de distribuție IT.

GDPR explicitat (10): Importanța evaluărilor de impact (DPIA)

 

AU MAI RĂMAS 227 de zile!

Una dintre practicile recomandate pentru evaluarea riscurilor și impactului pe care îl poate avea procesarea datelor personale în anumite condiții, este efectuarea unui studiu de impact asupra protecției sau confidențialității datelor, cunoscut sub denumirea generică de DPIA (Data Protection Impact Assessment) sau mai popular PIA (Privacy Impact Assessment).

Iată-ne ajunși la cel de-al 10-lea ”episod” din seria de articole GDPR Explicitat. După ce în articolul precedent am prezentat și comentat responsabilitatea și guvernanța în viziunea GDPR, în acest articolul ne ocupăm de evaluarea impactului pentru protecția datelor.

Ce este Data Protection Impact Assessment (DPIA)

Cum protecția datelor trebuie gândită acum ”by design”, fiind proiectată în mod implicit odată cu sistemele de procesare, pot apărea o multitudine de situații în care se recomandă evaluarea de impact asupra protecției datelor. O bună practică pentru noile tehnologii și procese este de a evalua dacă prelucrarea are un “risc ridicat”, dacă  aduce atingere drepturilor persoanelor vizate și dacă acest risc poate fi redus sau evitat, de exemplu prin pseudonimizare. Evaluările de impact sunt absolut necesare în cazul în care există o prelucrare automată și prelucrarea unor categorii speciale de date pe scară largă.

Evaluarea impactului privind protecția datelor (DPIA) – în versiunea mai populară mai des folosit ca Privacy Impact Assesment (PIA), reprezintă un instrument care poate ajuta organizațiile să identifice cea mai eficientă modalitate de a se conforma obligațiilor lor privind protecția datelor și de a răspunde așteptărilor individuale de confidențialitate. O evaluare de impact eficientă va permite organizațiilor să identifice și să remedieze problemele într-un stadiu incipient, reducând riscurile, costurile asociate și deteriorarea reputației, legată de apariția oricărui incident.

Evaluarea DPIA este parte integrantă a proiectării unei abordări privind confidențialitatea prin design. Punctele cheie ale unei astfel de evaluări sunt:

  • DPIA este un proces care ajută organizațiile să identifice și să minimizeze riscurile de confidențialitate ale proiectelor sau politicilor noi;
  • Efectuarea unei evaluări de impact implică lucrul cu oamenii din organizație, dar și cu partenerii, pentru a identifica și a reduce riscurile de confidențialitate;
  • Evaluarea vă ajuta la identificarea unor potențiale probleme într-un stadiu cât mai incipient, când remedierea poate să fie mai simplă și mai puțin costisitoare;
  • Realizarea unei evaluări de impact asupra confidențialității ajută organizațiile să elaboreze și să adopte cele mai bune politici de îmbunătățire a relațiilor dintre organizații și indivizi.

Când ar trebui să facem o evaluare DPIA?

În acord cu bunele practici, trebuie să efectuați o DPIA atunci când:

  • utilizarea noilor tehnologii impune asumarea unui anumit grad de risc;
  • prelucrarea este susceptibilă să genereze un risc ridicat pentru drepturile și libertățile persoanelor.

Procesarea care poate duce la un risc ridicat include, dar nu se limitează la acestea:

  • activități de prelucrare sistematice și extinse, inclusiv profilarea;
  • prelucrări în care deciziile care au efecte juridice – sau efecte similare, asupra persoanelor fizice;
  • prelucrarea pe scară largă a unor categorii speciale de date sau date cu caracter personal în legătură cu condamnările sau infracțiunile penale.

În general, trebuie avute în vedere orice activități care includ prelucrarea unor cantități considerabile de date cu caracter personal la nivel regional, național sau supranațional, care afectează un număr mare de indivizi și care  implică un risc ridicat pentru drepturi și libertăți.

Ce informații ar trebui să conțină DPIA?

Orice evaluare de impact trebuie să conțină:

  • descrierea operațiunilor de prelucrare și a scopurilor, inclusiv (dacă este cazul) a intereselor legitime urmărite de operator;
  • evaluarea necesității și proporționalității procesării în raport cu scopul;
  • evaluarea riscurilor pentru persoane fizice;
  • măsurile luate pentru a reduce riscul, inclusiv securitatea și pentru a demonstra că vă conformați;
  • numărul proiectelor similare care pot fi vizate de aceeași evaluare.

Beneficiile unei evaluări de impact asupra protecției datelor

Realizarea unei evaluări de impact pentru protecția datelor nu este o obligație a persoanei desemnate ca DPO. Acesta este o activitate de echipă, cu participanți din toate liniile de business. DPO poate coordona procesul de evaluare, poate face recomandări și trebuie să asigure alinierea la cerințele de conformitate. După elaborare, rolul DPO este acela de a ajuta organizația să folosească evaluarea de impact ca pe un instrument de conformare cu protecția datelor personale.

Chiar dacă efectuarea unui studiu de impact nu este o cerință legală, în anumite conjuncturi, autoritatea națională sau teritorială de supraveghere poate adresa o cerere oricărei organizații să realizeze o evaluare DPIA. Totodată, o evaluare de impact PIA, poate fi modul cel mai eficient pentru o organizație de a demonstra autorității de supraveghere modul în care prelucrarea datelor personale respectă cerințele de securitate și confidențialitate. În același timp, posesorii datelor personale pot fi asigurați că organizațiile care procesează informațiile lor urmează cele mai bune practici de securitate și confidențialitate. Un proiect care a fost supus unei evaluări PIA ar trebui să fie garantat ca un proces care are cele mai puțin ridicate riscuri de afectare intruzivă a datelor personale.

Un al doilea beneficiu pentru persoanele fizice este acela că PIA ar trebui să se asigure transparența în procesul de comunicare și de cunoaștere a modului în care sunt utilizate informațiile personale. Realizarea și publicarea unui raport de evaluare PIA va ajuta orice organizație să construiască relații de încredere cu oamenii care folosesc serviciile lor. Acțiunile întreprinse în timpul și după ce procesul de evaluare pot îmbunătăți experiența organizațiilor în relațiile de înțelegere cu clienții lor.

Nu trebuie desconsiderate beneficiile financiare pe care le poate aduce efectuarea unei evaluări de impact. Orice identificarea a unei probleme, într-o fază cât mai timpurie, va necesita o soluție mai puțin costisitoare. O evaluare de impact poate reduce, de asemenea, costurile unui proiect, prin minimizarea cantității de informații colectate, procesate și stocate.

În general, utilizarea consistentă a unei evaluări de impact va spori gradul de conștientizare a problemelor de confidențialitate și de protecție a datelor în cadrul unei organizații. Asta ne asigură că toți cei implicați în procesul de prelucrare sunt conștienți de importanța înțelegerii și păstrării acestor norme, încă din primele etape ale unui proiect.

Urmăriți articolele publicate în cadrul inițiativei GDPR Ready!  În următorul material ne vom ocupa de condițiile de numire ale unui Data Protection Officer (DPO), precum și principalele sarcini ale acestuia.

GDPR Q&A: CELE MAI FRECVENTE ÎNTREBĂRI ȘI RĂSPUNSURI

 

Iată o pagină online interactivă care se înscrie în inițiativa GDPR Ready! Prin interactivitate înțelegem atât actualizarea periodică a conținutului cu noi întrebări și răspunsuri, cât și posibilitatea de inserare de întrebări și răspunsuri care provin de la terțe părți. Oricare dintre dvs. poate contribui prin recomandări și comentarii la continua actualizare a acestei pagini.

Fiecare răspuns va avea menționată sursa. Acolo unde avem mai multe răspunsuri pertinente la aceeași întrebare, le vom publica pe toate, cu menționarea sursei fiecăruia. Pentru o evidență arbitrară, întrebările și răspunsurile vor fi numerotate descendent, astfel încât întotdeauna informația ”cea mai proaspătă” să se regăsească în partea superioară a paginii GDPR Ready Q&A.

Continuăm cu o serie de 13 întrebări legate de DPO, care au ca sursă Anexa documentului Guidelines on Data Protection Officers (‘DPOs’) elaborată de Grupul de lucru Articolul 29 (WP ART29.)

Q23. Care este rolul DPO în legătură cu DPIA și păstrarea evidenței operațiunilor de prelucrare?

În ceea ce privește evaluarea impactului operațiunilor de prelucrare (DPIA), operatorul sau persoana împuternicită de operator solicită avizul DPO în legătură cu următoarele aspecte, printre care:
• dacă să efectueze sau nu DPIA
• ce metodologie să fie folosită la efectuarea DPIA
• dacă să efectueze DPIA intern sau să externalizeze
• ce garanții (inclusiv măsuri tehnice și organizaționale) să pună în aplicare pentru reducerea oricăror riscuri la adresa drepturilor și intereselor persoanelor vizate
• dacă DPIA a fost sau nu efectuată corect și dacă respectivele concluzii (dacă să continue sau nu prelucrarea și ce garanții să pună în aplicare) respectă GDPR.

În ceea ce privește păstrarea unei evidențe a operațiunilor de prelucrare, operatorul sau persoana împuternicită de operator, și nu DPO, are obligația de a păstra o evidență a operațiunilor de prelucrare. Cu toate acestea, nimic nu împiedică operatorul sau persoana împuternicită de operator să atribuie DPO sarcina de a păstra o evidență a operațiunilor de prelucrare în numele operatorului sau persoanei împuternicite de operator. O astfel de evidență trebuie să fie considerată ca fiind unul dintre instrumentele care permit DPO să-și îndeplinească sarcinile de monitorizare a conformității, informare și consiliere a operatorului sau persoanei împuternicite de operator.
Sursa: Art.39,(1)c) și Art. 30 din GDPR

Q22. DPO este personal responsabil pentru nerespectarea cerințelor de protecție a datelor?

Nu. DPO nu este personal responsabil în situația în care există un caz de nerespectare a cerințelor de protecție a datelor. Operatorul sau persoana împuternicită de operator are obligația de a pune în aplicare măsuri tehnice și organizatorice adecvate pentru a garanta și a fi în măsură să demonstreze că prelucrarea se efectuează în conformitate cu prezentul Regulament. Respectarea normelor de protecție a datelor este o responsabilitate a operatorului sau a persoanei împuternicite de operator.

Q21. Ce înseamnă „monitorizarea conformității”?

Ca parte a acestor sarcini de monitorizare a conformității, DPO poate, în special:

  • să colecteze informații pentru a identifica operațiunilor de prelucrare
  • să analizeze și să verifice conformitatea operațiunilor prelucrare
  • să informeze, să consilieze și să emită recomandări operatorului sau persoanei împuternicite de operator.
    Sursa: Articolul 39(1) b) din GDPR

Q20. Care sunt garanțiile ce-i permit DPO să-și îndeplinească sarcinile în mod independent? Ce înseamnă „conflict de interese”?

Există anumite garanții ce-i permit DPO să acționeze în mod independent:

  • nu primește instrucțiuni de la operator sau persoana împuternicită de operator în ceea ce privește îndeplinirea sarcinilor sale
  • nu este demis sau sancționat de operator pentru îndeplinirea sarcinilor sale
  • nu există conflict de interese cu alte posibile sarcini sau atribuții.

Celelalte sarcini sau atribuții ale DPO nu trebuie să genereze un conflict de interese. Acest lucru
presupune, în special, faptul că DPO nu poate deține o poziție în cadrul organizației care ar conduce la posibilitatea ca DPO să stabilească scopurile și mijloacele de prelucrare a datelor cu caracter
personale. Acest lucru trebuie luat în considerare de la caz la caz, ținându-se cont de structura
organizațională specifică fiecărei organizații.

Ca regulă generală, funcții din cadrul organizației cu care poate intra în conflict pot include funcții de
conducere (cum ar fi director executiv, director operațional, director financiar, șeful serviciului
medical, șeful departamentului de marketing, șef departamentului de resurse umane sau șeful
departamentului IT), dar, în același timp, și alte funcții inferioare dacă acestea conduc la posibilitatea
de a stabili scopurile și mijloacelor de prelucrare. În plus, un conflict de interese poate apărea, de
asemenea, de exemplu, în situația în care un DPO extern este rugat să reprezinte operatorul sau
persoana împuternicită de operator în instanță, în cazurile care implică probleme de protecție a datelor.
Sursa: Art. 38(3) și 38(6) din GDPR

Q19. Care sunt resursele ce trebuie prevăzute de operator sau persoana împuternicită pentru DPO?

DPO trebuie să beneficieze de resursele necesare pentru îndeplinirea sarcinilor sale. În funcție de natura operațiunilor de prelucrare și a activităților și dimensiunii organizației, trebuie asigurate următoarele resurse pentru DPO:
• sprijin activ al funcției DPO din partea managementului superior
• timp suficient pentru DPO în vederea îndeplinirii atribuțiilor sale
• sprijin corespunzător în ceea ce privește resursele financiare, infrastructură (sediu, facilități, echipament) și personal, după caz
• comunicare oficială către toți angajații cu privire la desemnarea DPO
• accesul necesar la alte servicii precum resurse umane, juridic, IT, securitate etc. astfel încât DPO să beneficieze de un sprijin esențial, reacții și informații din partea altor servicii
• pregătire continuă
Sursa: Art. 38(2) din GDPR

Q18. Care sunt calitățile profesionale pe care trebuie să le posede un DPO?

DPO trebuie desemnat pe baza calităților profesionale și, în special a cunoștințelor de specialitate în dreptul și practicile în domeniul protecției datelor, precum și pe baza capacității de a-și îndeplini sarcinile.

Nivelul de expertiză necesar ar trebui determinat pe baza operațiunilor de prelucrare efectuate și a protecției necesare pentru datele cu caracter personal prelucrate. De exemplu, în situația în care o operațiune de prelucrare a datelor este deosebit de complexă sau în cazul în care este implicat un volum mare de date speciale, DPO poate necesita un nivel mai ridicat de expertiză și suport.

Aptitudinile și expertiza relevante includ:
• experiență în legislația și practicile de protecție a datelor la nivel național și european, precum și o înțelegere complexă a GDPR
• înțelegerea operațiunilor de prelucrare efectuate
• înțelegerea tehnologiilor de informații și de securitate a datelor
• cunoașterea sectorului de afaceri și a organizației
• abilitatea de a promova protecția datelor în cadrul organizației
Sursa: Art. 37(5) din GDPR

Q17. Există posibilitatea desemnării unui DPO extern?

Da. DPO poate fi membru al personalului operatorului sau persoanei împuternicite de operator (DPO intern) sau își poate îndeplini sarcinile în baza unui contract de prestări servicii. Acest lucru înseamnă că DPO poate fi extern și, în acest caz, funcția sa poate fi exercitată în baza unui contract de prestări servicii încheiat cu o persoană fizică sau o organizație.

În situația în care funcția DPO este exercitată de un furnizor de servicii extern, o echipă de persoane fizice angajate ale respectivei entități poate îndeplini eficient sarcinile DPO ca o echipă, sub responsabilitatea unei singure persoane desemnate ca persoană de contact principală și „persoană responsabilă” pentru client. În această situație, este esențial ca fiecare membru al organizației care exercită funcțiile unui DPO să îndeplinească toate cerințele aplicabile potrivit GDPR.

Din motive de claritate juridică și o bună organizare și pentru a preveni conflictele de interes pentru membrii echipei, Ghidul recomandă existența unei alocări clare a sarcinilor în cadrul echipei DPO și desemnarea unei singure persoane ca persoană de contact principală și persoană „responsabilă” pentru fiecare client.
Sursa: Art. 37(6) din GDPR

Q16. Unde poate fi localizat DPO?

Pentru a se asigura că DPO este accesibil, WP29 recomandă ca DPO să fie localizat pe teritoriul UE, chiar dacă operatorul sau persoana împuternicită de operator nu este stabilită pe teritoriul UE. Cu toate acestea, nu poate fi exclus faptul că, în anumite situații în care operatorul sau persoana împuternicită de operator nu are sediul în UE, un DPO își poate îndeplini sarcinile într-un mod mai eficient dacă este localizat în afara UE.

Q15. Mai multe organizații pot numi un DPO comun? Daca da, în ce condiții?

Da. Un grup de întreprinderi poate numi DPO unic, cu condiția ca aceasta să fie „ușor accesibil din fiecare întreprindere”. Noțiunea de accesibilitate se referă la sarcinile DPO ca punct de contact în ceea ce privește persoanele vizate, autoritatea de supraveghere, dar și pe plan intern în cadrul organizației. Pentru a se asigura că DPO, intern sau extern, este accesibil, este important să se asigure că datele de contact ale acestuia sunt disponibile.

DPO, cu ajutorul unei echipe, dacă este necesar, trebuie să fie în măsură să comunice eficient cu persoanele vizate și să coopereze cu autoritățile de supraveghere implicate. Acest lucru înseamnă că respectiva comunicare trebuie să aibă loc în limba sau limbile utilizate de autoritățile de supraveghere și persoanele vizate. Disponibilitatea unui DPO (fie fizică în același sediu cu angajații, prin intermediul unei linii telefonice sau prin alte mijloace sigure de comunicare) este esențială pentru a garanta că persoanele vizate vor fi în măsură să contacteze DPO.

Se poate desemna un singur DPO pentru mai multe autorități sau organisme publice, luând în considerare structura organizatorică și dimensiunea acestora. Sunt aplicabile aceleași considerente cu privire la resurse și comunicare. Având în vedere că DPO este responsabil pentru o varietate de atribuții, operatorul sau persoana împuternicită de operator trebuie să se asigure că un DPO unic, cu ajutorul unei echipe, poate efectua aceste competențe în mod eficient în ciuda faptul că este desemnat pentru mai multe autorități și organisme publice.
Sursa: Art. 37(2) și (3) din GDPR

Q14. Ce înseamnă „monitorizare periodică și sistematică”?

Noțiunea de monitorizare periodică și sistematică nu este definită în GDPR, dar include în mod clar toate formele de urmărire și profilarea pe Internet, inclusiv în scop de publicitate comportamentală. Cu toate acestea, noțiunea de monitorizare nu este restricționată în mediul online.

Exemple de activități care pot constitui o monitorizare periodică și sistematică a persoanelor vizate: operarea unei rețele de telecomunicații; furnizarea de servicii de telecomunicații; e-mail de direcționare repetată; activități de marketing bazate pe date; profilare și scoring în scopul evaluării riscurilor (de exemplu, în scopul de credit scoring, stabilirea primelor de asigurare, de prevenire a fraudelor, detectarea spălării banilor); urmărirea locației, spre exemplu, prin aplicații mobile; programe de loialitate; publicitate comportamentală; monitorizarea wellness, fitness și a datelor de sănătate prin intermediul dispozitivelor portabile; televiziune cu circuit închis; dispozitive conectate spre exemplu, contoare inteligente, mașini inteligente, automatizare acasă, etc.

WP29 interpretează „periodic” ca însemnând una sau mai multe din următoarele:
• în curs de desfășurare sau care apare la anumite intervale într-o anumită perioadă
• recurente sau repetate la perioade fixe
• constante sau care au loc periodic

WP29 interpretează „sistematic” ca însemnând una sau mai multe din următoarele:
• apărut conform sistemului
• prearanjat, organizat sau metodic
• luând loc ca parte a unui plan general de colectare a datelor
• efectuat ca parte a unei strategii
Sursa: Art.37(1)b) din GDPR

Q13. Ce înseamnă „pe scară largă”?

GDPR nu definește ce constituie prelucrarea pe scară largă. WP29 recomandă ca următorii factori să fie luați în considerare atunci când se stabilește dacă prelucrarea este efectuată pe o scară largă:
• numărul persoanelor vizate – ori un număr exact ori un procent din populația relevantă
• volumul datelor și/sau gama de elemente diferite de date în curs de prelucrare
• durata sau permanența activității de prelucrare a datelor
• suprafața geografică a activității de prelucrare

Exemple de prelucrări pe scară largă includ:
• prelucrarea datelor pacienților în activitatea regulată a unui spital
• prelucrarea datelor de călătorie a unei persoane fizice ce utilizează sistemul de transport public (spre exemplu urmărire cu ajutorul cardurilor de călătorie)
• prelucrarea în timp real a datelor de geolocalizare a clienților unei rețele internaționale de fast food în scopuri statistice de către o persoană împuternicită de operator specializată în
• furnizarea serviciilor de acest tip prelucrarea datelor clienților în activitatea regulată a unei companii de asigurări sau a unei bănci
• prelucrarea datelor personale de către un motor de căutare în scop de publicitate comportamentală
• prelucrarea datelor (conținut, trafic, localizare) de către furnizorii de telefonie sau servicii de Internet

Exemple ce nu constituie de prelucrări pe scară largă includ:
• prelucrarea datelor pacientului de către un medic individual
• prelucrarea datelor personale referitoare la condamnările penale și infracțiuni de către un avocat individual
Sursa: Art. 37(1) b și c) din GDPR

Q12. Ce înseamnă „activitate principală”?

„Activitățile principale” pot fi considerate ca operațiuni cheie necesare pentru îndeplinirea obiectivelor operatorului sau persoanei împuternicite de operator. Acestea includ, de asemenea, toate activitățile în care prelucrarea de date reprezintă o parte indisolubilă a activității operatorului sau persoanei împuternicite de operator. De exemplu, prelucrarea datelor privind starea de sănătate, cum ar fi dosarele medicale ale pacientului ar trebui să fie considerată a fi una dintre activitățile principale în orice spital și, prin urmare, spitalele trebuie să desemneze un DPO.
Pe de altă parte, toate organizații efectuează anumite activități, spre exemplu, plata angajaților lor sau deținerea de activități standard de suport IT. Acestea sunt exemple de funcții de sprijin necesare pentru activitatea de bază sau principală a organizației. Chiar dacă aceste activități sunt necesare sau esențiale, acestea sunt de obicei considerate mai degrabă funcții auxiliare decât activitate principală.
Sursa: GDPR Art. 37(1) b și c)

Q11. Ce organizații trebuie să numească un DPO?

Numirea unui DPO este o obligație dacă:
• prelucrarea este efectuată de o autoritatea publică sau un organism public (indiferent de datele prelucrate)
• activitățile principale ale operatorului sau ale persoanei împuternicite de operator constau în operațiuni de prelucrare care necesită o monitorizare periodică și sistematică a persoanelor vizate pe scară largă
• activități principale ale operatorului sau persoanei împuternicite de operator constau în prelucrarea pe scară largă a unor categorii speciale de date personale privind condamnările penale și infracțiuni.

În cele din urmă, chiar și în cazul în care desemnarea unui DPO nu este obligatorie, organizațiile pot considera, uneori, ca fiind utilă desemnarea unui DPO în mod voluntar. Grupul de Lucru Articolul 29 în domeniul protecției datelor („WP29“) încurajează aceste eforturi voluntare. Atunci când o organizație desemnează un DPO în mod voluntar, sunt aplicabile aceleași cerințe privind numirea, poziția și sarcinile ca și cum desemnarea ar fi obligatorie.
Sursa: Art. 37(1) din GDPR

Q10: Care sunt penalitățile pentru ne-conformitate?

Organizațiile pot fi penalizate cu până la 4% din veniturile globale anuale sau cu suma de 20 Milioane Euro. Aceasta este amenda maximă care poate fi impusă pentru cele mai grave încălcări, precum de exemplu, lipsa unui consimțământ clar al clientului pentru procesarea datelor sau încălcarea elementelor esențiale ale conceptului Confidențialitate prin design. Există totuși o abordare graduată a amenzilor, de exemplu unei societăți i se poate aplica o amendă de 2% (din venitul global anual – nn) dacă nu are înregistrările în ordine (Articolul 28), dacă nu notifică autoritatea de supraveghere și persoana vizată despre o încălcare sau dacă nu efectuează o evaluare a impactului. Este important să rețineți că aceste reguli se aplică atât controlorilor (operatorilor de date – nn), cât și procesatorilor – adică furnizorii de Cloud nu vor fi scutiți de aplicarea GDPR.

Sursa: Site-ul oficial GDPR http://www.eugdpr.org/gdpr-faqs.html

 

Q9: Care este structura GDPR?

Noul Regulament este structurat pe 9 Capitole și 91 de Articole dispuse astfel:

  • Capitolul I Dispoziții generale: Articolele 1-4;
  • Capitolul II Principii: Articolele 5-11;
  • Capitolul III Drepturile subiectului de date: Articolele 12-23;
  • Capitolul IV Controlor și procesor: Articolele 24-43;
  • Capitolul V Transferul datelor cu caracter personal către țări terțe: Articolele 44-50;
  • Capitolul VI Autorități independente de supraveghere: Articolele 51-59;
  • Capitolul VII Cooperarea și coerența: Articolele 60-76;
  • Capitolul VIII Restituiri Obligații și sancțiuni: Articolele 77-84;
  • Capitolul IX Dispoziții referitoare la situațiile specifice de prelucrare: Articolele 85-91.

Sursa: cloudmania*

 

Q8: Sunt operator de date cu caracter personal?

Operatorul de date cu caracter personal este persoana fizică sau juridică, de drept public ori de drept privat care stabilește scopul şi mijloacele prelucrării. Aceasta înseamnă că operatorul a decis să prelucreze date cu caracter personal prin anumite operaţiuni, efectuate prin mijloace automate, precum şi prin alte mijloace decât cele automate. De asemenea, persoana fizică sau juridică poate fi desemnată ca operator printr-un act normativ sau în baza unui act normativ care determină scopul şi mijloacele de prelucrare a datelor cu caracter personal. Pentru ca o prelucrare să intre sub incidenţa prevederilor Legii nr. 677/2001 este necesar ca ea să se desfăşoare în cadrul unui sistem de evidenţă. Prin sistem de evidenţă se înţelege o bază de date, structurată potrivit unor criterii, criterii pe baza cărora datele pot fi accesate (de exemplu, pe criteriul alfabetic).     

Sursa: Site ANSPDCP http://www.dataprotection.ro/?page=IntrebariFrecvente1

 

Q7: Rolul de Data Protection Officer (DPO) e mai potrivit pentru o persoană tehnică sau una non-tehnică?

Un DPO trebuie să înțeleagă un mare număr de probleme tehnice, dar nu trebuie să fie neapărat o persoană tehnică. Acesta ar trebui să fie de fapt o persoană cu o largă orientare, deoarece trebuie să înțeleagă implicațiile afacerii și cum să vorbească și să comunice cu persoane externe, cum ar fi autoritățile de supraveghere. În organizațiile mai mari, în jurul unui DPO se constituie practic un grup, un număr de persoane pe care poate să-i ajute. Sunt companii care au echipe de 2 sau 3 persoane cu responsabilități asemănătoare DPO și care formează biroul responsabilului cu protecția datelor.

Sursa: cloudmania*

 

Q6: Ce înseamnă ”Pseudonimizarea”?

“Pseudonimizarea” este un termen întâlnit în cadrul conceptului ”Privacy by design” și se referă la prelucrarea datelor cu caracter personal în așa fel încât datele personale nu mai pot fi atribuite unui anumit subiect de date fără utilizarea unor informații suplimentare, cu condiția ca aceste informații suplimentare să fie păstrate separat și să facă obiectul unor măsuri tehnice și măsuri organizatorice pentru a se asigura că datele cu caracter personal nu sunt atribuite unei persoane fizice identificate sau identificabile. Cu alte cuvinte, datele personale utilizate pentru diferite procesări de business nu mai pot fi atribuite unei persoane identificabile, ci au ca echivalent un pseudonim, fie că pentru aceasta se folosesc denumiri, coduri numerice sau altfel de identificatori. Important este ca listele care fac asocierea între peroanele vizate și pseudonimele acestora să fie accesibile unui număr restrâns de persoane din cadrul operatorilor de date și a partenerilor de procesare. Listele de pseudonime trebuie de asemenea să facă obiectul unor măsuri tehnice și măsuri organizatorice speciale, pentru a ne asigura că datele cu caracter personal nu sunt atribuite unei persoane fizice identificate sau identificabile.

Sursa: cloudmania*

 

Q5: Care este diferența dintre un procesator de date și un controlor de date?

Controlorul (operatorul – nn) este o entitate care determină scopurile, condițiile și mijloacele de prelucrare a datelor cu caracter personal, în timp ce procesatorul este o entitate care prelucrează date cu caracter personal în numele controlorului.

Sursa: Site-ul oficial GDPR http://www.eugdpr.org/gdpr-faqs.html

 

Q4: Pe cine va afecta GDPR?

A1: GDPR se aplică nu numai organizațiilor cu sediul în statele membre ale Uniunii Europene, ci va fi valabilă și pentru organizațiile din afara UE dacă acestea oferă bunuri sau servicii, sau monitorizează comportamentul unor persoane vizate localizate în UE. Se aplică tuturor companiilor care procesează și stochează datele personale ale subiecților care au locuința de bază în Uniunea Europeană, indiferent de locația companiei
Sursa: Site-ul oficial GDPR http://www.eugdpr.org/gdpr-faqs.html

A2: Regulamentul se aplică controlorilor (operatorilor) și procesatorilor din UE, indiferent de locul în care au loc prelucrările de date.

Regulamentul se aplică în cazul activităților de prelucrare care au legătură cu:

  • Oferirea de bunuri sau servicii, indiferent dacă se solicită o plată a acestor oferte;
  • Monitorizarea comportamentului persoanelor vizate în cadrul UE, atâta vreme cât elementele comportamentului se referă la activitățile derulate de subiecți pe teritoriul Uniunii Europene.

Se aplică operatorilor care nu se află în UE, dar într-un teritoriu în care se aplică legislația statelor membre, în virtutea dreptului public internațional.

Sursa: GDPR, Article 3: Territorial scope

 

Q3: Ce reprezintă date personale?

A1: Orice informație referitoare la o persoană fizică sau la o “persoană vizată”, care poate fi utilizată pentru identificarea directă sau indirectă a persoanei (…constituie date personale –nn). Poate fi orice, de la un nume, o fotografie, o adresă de e-mail, detalii bancare, postări pe site-uri de socializare, informații medicale sau o adresă IP a computerului.

Sursa: Site-ul oficial GDPR http://www.eugdpr.org/gdpr-faqs.html

A2: “date cu caracter personal”- înseamnă orice informaţii privind o persoană fizică identificată sau identificabilă (“persoana vizată”); o persoană fizică identificabilă este o persoană care poate fi identificată, direct sau indirect, în special prin referire la un element de identificare, cum ar fi un nume, un număr de identificare, date de localizare, un identificator online, sau la unul sau mai multe elemente specifice, proprii identităţii sale fizice, fiziologice, genetice, psihice, economice, culturale sau sociale;

Sursa: GDPR, Article 4: Definitions

Q2: Care este diferența dintre un regulament și o directivă?

A1: Un regulament este un act legislativ obligatoriu. Acesta trebuie aplicat în întregime în întreaga UE, în timp ce o directivă este un act legislativ care stabilește un obiectiv pe care toate țările UE trebuie să-l atingă. Cu toate acestea, depinde de fiecare țară să decidă cum. Este important de menționat că GDPR este un regulament, spre deosebire de legislația anterioară, care este o directivă.

Sursa: Site-ul oficial GDPR http://www.eugdpr.org/gdpr-faqs.html

A2: În dreptul european există două tipuri principale de legislație:

Directive:

  • Implementarea individuală în fiecare stat membru;
  • Implementat prin crearea de legi naționale aprobate de parlamentele fiecărui stat membru;
  • Directiva europeană 95/46 / CE este o directivă;
  • Legea 677 din 2001 este echivalentul Directivei 95/46 cu aplicabilitate pe teritoriul României.

 Regulamente:

  • Cu aplicabilitate imediată în fiecare stat membru
  • Nu impune nicio legislație locală de punere în aplicare
  • UE 2016-679 este un Regulament care va intra în vigoare în data de 25 Mai 2018.

Sursa: cloudmania*

Q1: Când va intra în vigoare GDPR?

Noul Regulament european privitor la protecția datelor personale și la libera circulație a acestora este discutat de noi sub denumirea generică internatională de GDPR (General Data Protection Regulation). GDPR a fost aprobat de Parlamentul European în aprilie 2016 și va intra în vigoare după doi ani de tranziție de la publicarea oficială, începând cu data de 25 mai 2018.

Sursa: Site-ul oficial GDPR http://www.eugdpr.org/gdpr-faqs.html

Notă: Răspunsurile care au menționată ca sursă CloudMania* reprezintă fie propriile nostre răspunsuri, fie conținut preluat de pe site-uri publice neutre sau de la parteneri care prin acordurile de confidențialitate nu pot fi menționați în aceste condiții. Vom încerca să păstrăm aceste infomații cât mai exacte, prin respectarea sursei de  informare.

 

GDPR explicitat (9): Data protection by design and by default

AU MAI RĂMAS 246 de zile!

În cadrul GDPR, aveți obligația generală de a implementa măsuri tehnice și organizatorice care să arate că ați luat în considerare și că integrați protecția datelor în activitățile dvs. de procesare. Confidențialitatea prin design este o abordare care a fost de mult timp și va fi întotdeauna o cerință implicită a principiilor pe care toți operatorii de date personale și le asumă în mod constant.  

“Design is a funny word. Some people think design is how it looks. But of course, if you dig deeper, it’s really how it works.”  Steve Jobs

Ce este “confidențialitatea prin design”?

Confidențialitatea prin design este o abordare a proiectelor care promovează respectarea vieții private și protecția datelor încă de la început, de la proiectarea bazelor de date și a sistemelor de calcul. Din nefericire, în practică s-a văzut că aceste  aspecte sunt de cele mai multe ori asumate ca o gândire ulterioară sau ignorate cu totul. Deși această abordare nu a fost o cerință esențială a Legii privind protecția datelor, prin includerea sa distinctă în noul Regulament, ea va ajuta organizațiile să își respecte obligațiile care le revin în temeiul legislației.

GDPR încurajează organizațiile să se asigure că protecția vieții private și a datelor reprezintă un element-cheie în primele etape ale oricărui proiect și apoi pe tot parcursul ciclului său de viață. Iată câteva exemple:

  • crearea de noi sisteme IT pentru stocarea sau accesarea datelor cu caracter personal;
  • elaborarea de reguli, politici sau strategii care au implicații asupra vieții private;
  • lansarea unei inițiative de partajare a datelor;
  • folosirea seturilor de date pentru alte scopuri, decât cele avute în vedere inițial.

Beneficiile adoptării unei abordări “confidențialitate prin design”

O abordare privind confidențialitatea prin design este în primul rând un instrument esențial în reducerea riscurilor de confidențialitate și de construire a încrederii. Designul proiectelor, proceselor, produselor sau sistemelor plecând de la premisa asigurării confidențialității încă de la început poate aduce beneficii care includ:

  • Problemele potențiale sunt identificate într-un stadiu incipient, când abordarea acestora va fi adesea mai simplă și mai puțin costisitoare;
  • Creșterea gradului de conștientizare a vieții private și a protecției datelor într-o organizație;
  • Organizațiile sunt mult mai probabil să-și îndeplinească obligațiile legale și mai puțin susceptibile de a încălca Legea privind protecția datelor;
  • Este puțin probabil ca acțiunile să fie invazive și să aibă un impact negativ asupra persoanelor.

”Ținând seama de stadiul actual al tehnicii, costul implementării și natura, scopul, contextul și scopurile prelucrării, precum și riscurile de variație a probabilității și gravității drepturilor și libertăților persoanelor fizice create de procesare, controlorul atât în momentul determinării mijloacelor de procesare, cât și în momentul procesării propriu-zise, pun în aplicare măsuri tehnice și organizatorice adecvate, cum ar fi pseudonimizarea, care sunt concepute pentru a pune în aplicare principiile de protecție a datelor, cum ar fi minimizarea datelor, o manieră eficientă și integrarea garanțiilor necesare în prelucrare pentru a îndeplini cerințele prezentului regulament și pentru a proteja drepturile persoanelor vizate.” GDPR, Articolul 25, Alineatul 1.

Conform Articolului 25, operatorii trebuie să adopte măsuri tehnice și organizatorice adecvate pentru a se asigura că, în mod implicit, sunt prelucrate numai datele cu caracter personal care sunt necesare pentru fiecare scop specific al prelucrării. Această obligație se aplică:

  • cantității de date cu caracter personal colectate
  • amplorii prelucrării acestora;
  • perioadei de stocare asumate;
  • accesibilității datelor personale.

Astfel de măsuri trebuie să garanteze în mod special faptul că, în mod prestabilit, datele cu caracter personal nu sunt accesibile fără intervenția unei persoanei fizice unui număr nedeterminat de persoane fizice. Cu alte cuvinte, toți operatorii trebuie să adopte reguli clare, bazate pe politici  de acces la datele cu caracter personal.

Nimic nou sub soare

Ceea ce se știe destul de puțin este că ”Privacy by Design” este un concept care a fost dezvoltat încă de la sfârșitul anilor ’90 de către dr. Ann Cavoukian – comisar pentru informare și protecția vieții private din Ontario, Canada. Confidențialitatea prin design avansează opinia că viitorul vieții private nu poate fi asigurat numai prin respectarea legislației și a cadrelor de reglementare. Asigurarea confidențialității trebuie să devină un mod de funcționare implicit al unei organizații. Cadrul “Confidențialitatea prin design” folosește o abordare caracterizată prin măsuri proactive mai degrabă decât reactive. Ea anticipează și împiedică evenimentele invazive de confidențialitate înainte ca acestea să se întâmple. Confidențialitatea prin design nu așteaptă să se materializeze riscurile de confidențialitate și nici nu oferă remedii pentru soluționarea încălcărilor vieții private după ce au avut loc. Ci are ca scop prevenirea apariției acestora. Pe scurt, confidențialitatea prin design vine înainte de fapte, nu după.

Seriozitatea, claritatea și mai ales larga capacitate de adopție a programului Privacy by Design a determinat Comisia Europeană să îl încorporeze ca abordare în Regulamentul general privind protecția datelor. Respectând această abordare, procesatorii de date și proiectanții de sisteme informatice pot să își elaboreze ofertele prin minimizarea datelor colectate și alegerea celor mai eficiente setări de protecție a datelor. Prin respectarea puternicului principiu al limitării scopului. Se garantează faptul că vor fi prelucrate numai datele necesare pentru furnizarea unui serviciu.

Cele 7 principii fundamentale ale confidențialității prin design

De la adoptarea acestei rezoluții internaționale, cele 7 principii fundamentale ale confidențialității prin design au fost traduse în 31 de limbi oficiale și s-au dovedit  o resursă valoroasă pentru organizații din întreaga lume..  Obiectivele de confidențialitate prin design – asigurarea protecției vieții private și obținerea controlului personal asupra informațiilor proprii și, pentru organizații, obținerea unui avantaj competitiv durabil – pot fi realizate prin respectarea celor 7 Principii Fundamentale:

  1. Proactiv nu Reactiv – Adică prevenire, nu remediu. Abordarea privind confidențialitatea prin design se caracterizează prin măsuri proactive mai degrabă decât reactive. Ea anticipează și împiedică evenimentele invazive de confidențialitate, înainte ca acestea să se întâmple. Confidențialitatea prin design nu așteaptă să se materializeze riscurile de confidențialitate și nici nu oferă remedii pentru soluționarea încălcărilor vieții private după ce acestea au avut loc. Are ca scop prevenirea apariției acestora. Pe scurt, confidențialitatea prin design vine înainte de fapte, nu după;
  2. Confidențialitatea ca setare implicită – Singurele care ne pot face să putem fi siguri de un lucru sunt regulile implicite! Confidențialitatea prin design urmărește să asigure un nivel maxim de confidențialitate, asigurând protecția automată a datelor cu caracter personal în orice sistem IT sau practică de afaceri. Dacă un individ nu face nimic, intimitatea lui rămâne în continuare intactă. Nu este necesară nicio acțiune din partea individului pentru a-și proteja confidențialitatea – aceasta este implicit protejată de sistem;
  3. Confidențialitatea încorporată în design – Astfel confidențialitatea este încorporată în designul și arhitectura sistemelor informatice și a practicilor de afaceri. Nu este poziționată ca un add-on. Doar așa confidențialitatea devine o componentă esențială a funcțiilor de bază furnizate. Confidențialitatea este parte integrantă a sistemului, fără a diminua funcționalitatea;
  4. Funcționalitatea completă – Se urmărește o adaptare a tuturor intereselor și obiectivelor legitime într-o manieră profitabilă de tip ”sumă pozitivă”, nu printr-o abordare de tip ”rezultat cumulat zero”, în cazul în care sunt adoptate compromisuri inutile. Confidențialitatea prin design evită pretenția unor dihotomii false, cum ar fi confidențialitatea vs. securitatea – demonstrând că este posibil să obținem
  5. Securitatea end-to-end – protecția completă, pe toată durata ciclului de viață. Confidențialitatea prin proiect, care a fost încorporată în sistem înainte de primirea primului element de informație, se extinde în mod sigur pe întreaga durată de viață a datelor implicate – garantând intimitate, de la început până la sfârșit. Acest lucru ne asigură că toate datele sunt păstrate în siguranță și apoi distruse în siguranță la sfârșitul procesului, în timp util.
  6. Vizibilitate și transparență – Confidențialitatea prin design urmărește să asigure toate părțile interesate că, indiferent de practica comercială sau tehnologia implicată, funcționează în conformitate cu promisiunile și obiectivele menționate, supuse verificării independente. Componentele și operațiunile sale rămân vizibile și transparente, atât pentru utilizatori, cât și pentru furnizori. Cu alte cuvinte ”Crede și ține minte, dar nu uita să și verifici…”
  7. Respectarea confidențialității utilizatorilor – Mai presus de toate, confidențialitatea prin proiectare cere arhitecților și operatorilor să protejeze interesele individului, oferind astfel de măsuri care susțin implicațiile puternice de confidențialitate, recomandă notificarea corespunzătoare și respectarea opțiunilor cele mai prietenoase pentru utilizator. Țineți-l pe utilizator de partea voastră.

Urmăriți articolele publicate în cadrul inițiativei GDPR Ready! În următorul material ne vom ocupa de instrumentele de autoevaluare privitoare la conformitatea cu GDPR

Articole anterioare:

 

Invitație la un eveniment dezbatere: Noua ordine europeană pentru protecția datelor personale

 

Suntem pregătiți pentru asigurarea conformității cu nou Regulament european?  Este o întrebare care apare tot mai des, în cele mai diferite medii, de la marile case de avocatură, la companiile de consultanta și la furnizorii de soluții de optimizare operațională și securitate IT.

Studiile de piață arată clar că NU. Peste 70% dintre operatorii europeni de date nu au încă un program clar de asigurare a compatibilității cu noile reglementari ale Uniunii Europene. Mai grav este că mai mult de jumătate dintre cei care au afirmat că sunt pregătiți, nu au baze reale pentru obținerea conformității GDPR.

Pe măsură ce trece timpul, ideile principale care se desprind sunt legate de faptul că obținerea conformității cu prevederile GDPR este un must, un lucru foarte serios pe care nu trebuie să îl trecem cu vederea, o abordare, pe care dacă nu o tratăm cu toată seriozitatea riscăm să pierdem enorm: material, moral, dar mai ales eficiența în business.

Pentru a putea fi cu adevărat pregătiți pentru GDPR trebuie să înțelegem în primul rând importanța majoră a Regulamentului și responsabilitățile pe care le vom avea ca operatori de date personale. Iată câteva elemente definitorii, esențiale pentru schițarea unei bune strategii de conformitate.

Toți cei care au neclarități legate de aspecte legale, operaționale sau tehnologice vor avea ocazia să participe la un eveniment dedicat unei largi audiențe, unde pot adresa direct întrebările esențiale celor mai avizați specialiști.

Înregistrați-vă la evenimentul dezbatere

“Noua ordine europeană pentru PROTECŢIA DATELOR PERSONALE”

12 Octombrie 2017, București, sediul Muşat & Asociaţii

 

Aflat deja la cea de-a treia ediție, evenimentul este organizat de agenția de PR Concord Communication și are ca parteneri principali companiile Mușat și Asociatii, Clico Romania și Power Net Consulting.

Printre principalele teme abordate se numără problematici de mare interes, precum  ghiduri practice de implementare a măsurilor de conformitate GDPR, diverse aspecte legate de securitatea datelor cu caracter personal, obligațiile și responsabilitățile ofițerilor responsabili cu protecția datelor, transferurile de date cu caracter personal către țări terțe sau organizații internaționale, precum și reguli corporative legate de răspunderea angajaților pentru încălcarea obligațiilor GDPR în Romania și în alte state membre.

Evenimentul “Noua ordine europeană pentru PROTECŢIA DATELOR PERSONALE” se adresează companiilor și instituțiilor publice din cele mai diverse domenii, precum operatorii de utilități din energie, petrol și gaze, sau transport, sectorul financiar-bancar, sănătate, servicii publice, servicii Cloud computing, data center și eCommerce, motoare de căutare online, platforme de joburi, furnizori telecom, agenții de marketing sau operatori de turism.

Evenimentul este gândit într-o manieră transparentă și interactivă, fiind structurat sub formă de întrebări și răspunsuri. Pentru detalii despre eveniment, agenda și specialiștii care vor răspunde la întrebări nu trebuie decât să vă înregistrați la adresa: https://concordcom.ro/evenimente/protectia-datelor-personale/

Prin intermediul Fomularului de înscriere pot fi adresate întrebările esențiale la care doriți să primiți răspunsuri din partea specialiștilor prezenți în panel.

Image source: Concord Communications

GDPR explicitat (7): Dreptul la portabilitatea datelor, obiecții și luarea automată a deciziilor

AU MAI RĂMAS 259 zile!

Noul regulament pe care îl discutam sub titulatura generica de GDPR vine cu unele drepturi noi pentru indivizi și consolidează unele dintre drepturile care existau deja in Legislația Europeana. GDPR oferă persoanelor fizice vizate de prelucrarea datelor cu caracter personal următoarele drepturi generale: Dreptul de a fi informat, de acces, de rectificare, de ștergere,  de a restricționa procesarea, dreptul la portabilitatea datelor,  la obiecții, precum și drepturi legate de luarea automatizată de decizii și profilare.

Iată-ne ajunși la cel de-al 7-lea articol din seria GDPR Explicitat. După ce în articolul precedent am prezentat și comentat dreptul de acces, rectificare, ștergere sau restricționare, continuăm cu prezentarea drepturilor și a excepțiilor legate de dreptul la portabilitatea datelor, dreptul la obiecție și dreptul de a decide dacă datele personale pot fi incluse în operațiuni de prelucrare automatizată și profilare.

Dreptul la portabilitatea datelor

Dreptul la portabilitatea datelor permite persoanelor să obțină și să reutilizeze datele lor personale în scopuri proprii în cadrul diferitelor servicii. Acest drept permite mutarea, copierea sau transferul datele personale cu ușurință de la un mediu IT la altul, într-un mod sigur. Multe organizații europene oferă deja servicii de portabilitate a datelor, care permit persoanelor interesate să  vizualizeze, să acceseze și să utilizeze datele personale de consum și tranzacții într-un mod portabil și sigur. Mai mult, există operatori internaționali care permit consumatorilor să profite de aplicații și servicii care pot utiliza aceste date pentru a le găsi o afacere mai bună sau pentru a le ajuta să-și înțeleagă obiceiurile de cheltuieli.

Conform Articolului 20, persoana vizată are dreptul să transmită date cu caracter personal altui operator de date. Operatorul de date trebuie să furnizeze persoanei vizate o copie a datelor cu caracter personal într-un format structurat, utilizat în mod obișnuit și care poate fi citit automat. Mai mult, operatorul de date nu trebuie să împiedice transmiterea datelor cu caracter personal unui nou operator de date.

Dreptul de portabilitate a datelor se aplică numai în cazul în care:

  • datele sunt procesate prin mijloace automate;
  • persoana vizată a dat consimțământul pentru prelucrare;
  • prelucrarea este necesară pentru a îndeplini condițiile stipulate printr-un contract.

Ce trebuie să facem pentru a asigura conformitatea cu acest drept? La solicitarea explicită a persoanei vizate trebuie să furnizăm datele personale într-o formă structurată, utilizată frecvent și care poate fi citită în mod automatizat.  Formatele deschise includ fișierele CSV. Prin intermediul unei mașini de citire se înțelege că informațiile sunt structurate astfel încât software-ul să poată extrage elemente specifice ale datelor. Acest lucru permite altor organizații să utilizeze datele. Informațiile trebuie furnizate gratuit.

Este posibil să ni se solicite să transmitem datele direct unei alte organizații, dacă acest lucru este fezabil din punct de vedere tehnic. Cu toate acestea, nu suntem obligați să adoptăm sau să menținem sisteme de procesare care sunt compatibile din punct de vedere tehnic cu alte organizații. Dacă datele personale se referă la mai multe persoane, trebuie să verificăm dacă furnizarea informațiilor ar aduce atingere drepturilor oricărei alte persoane.

În cât timp trebuie să răspundem solicitărilor de portare? Avem la dispoziție, fără întârzieri nejustificate, o perioadă de o lună, de la primirea solicitării. În cazul în care primim o cerere mai complexă, care include și alte tipuri de solicitări, timpul de răspuns poate ajunge la două luni. În cazul în care, din diferite motive, nu putem să furnizăm un răspuns la o cerere, trebuie să explicăm solicitantului că are dreptul de a se plânge autorității de supraveghere și de a deschide o cale de atac, fără întârzieri nejustificate și cel mult într-o lună.

Pentru o mai buna informare despre Dreptul la portabilitatea datelor, cititi si indrumarul “Guidelines on the right to data portability” realizat de Grupul de lucru ARTICLE 29 DATA PROTECTION si publicat si pe site-ul ANSPDCP la sectiunea Ghiduri ale Grupului de Lucru Art.29. 

Dreptul de a ridica obiecții

Unul dintre principalele drepturi ale persoanei vizate, stipulate de GDPR este dreptul la obiecții sau de a se opune anumitor tipuri de prelucrări.

Care sunt aceste tipuri de prelucrări ale persoanelor vizate? Conform Articolului 21 persoana vizată are dreptul de a se opune la:

  • prelucrarea datelor personale în scopuri de marketing direct;
  • prelucrarea datelor pentru realizarea de profiluri;
  • prelucrarea datelor prin mijloace automate;
  • prelucrarea în scopuri științifice sau istorice.

Situațiile de excepție care anulează dreptul la obiecții al persoanelor vizate apar atunci când, în calitatea de operator de date personale, putem să demonstrăm că există motive legitime convingătoare pentru susținerea prelucrării, care depășesc interesele, drepturile și libertățile persoanei vizate. Alte situații de excepție sunt motivate de stabilirea, exercitarea sau apărarea unor revendicări legale sau în situațiile în care prelucrarea este necesară pentru îndeplinirea unei sarcini de interes public.

Haideți să discutăm puțin câteva dintre aceste situații de excepție.

Dacă scopul primar al procesării datelor personale este de natură legală sau în interesul legitim al organizației noastre – în momentul în care primim vreo obiecție legată de natura acestor procesări, trebuie să încetăm prelucrarea datelor respective numai dacă nu putem demonstra cu claritate că prelucrarea se face pentru stabilirea, exercitarea sau apărarea revendicărilor legale. Toate acestea trebuie explicate clar și concis persoanei vizate care a ridica vreo obiecție.

Dacă facem procesarea de date personale în scop de marketing direct, trebuie să încetăm orice operațiune de prelucrare de îndată ce primim o obiecție. În aceste situații nu există excepții sau motive de refuz pentru luarea în considerare a unei obiecții. Trebuie să răspundem obiecțiilor împotriva procesării în scopuri de marketing direct cât mai rapid și în mod gratuit. Chiar dacă în anumite circumstanțe a exist un consimțământ inițial pentru prelucrarea datelor, ridicarea unei obiecții explicite pentru interzicerea prelucrării datelor personale în scopuri de marketing direct trebuie acceptată fără întârziere și comunicată persoanei vizate ”în mod clar și separat de orice altă informație”. Toate aceste condiții trebuie stipulate de la bun început, chiar prin contractual de confidențialitate.

Dacă procesăm date personale în scopuri legate de cercetare științifică sau istorică, sau în scopuri statistice, persoanele fizice trebuie să aibă “motive legate de situația lor particulară” pentru a-și exercita dreptul de a se opune prelucrării în scopuri de cercetare. Dacă scopul principal al proiectului de cercetare este legat în mod direct de îndeplinirea unei sarcini de interes public, nu suntem obligați să ne conformăm unei obiecții față de prelucrarea datelor. Evident că această situație și motivarea clară și precisă a naturii cercetării trebuie comunicate în cel mai scurt timp persoanei vizate care s-a opus prelucrării.

Drepturi legate de luarea automată a deciziilor și profilare

Iată o categorie specială de drepturi, prezentă în legislația anterioară dar mult mai bine explicitată prin noul Regulament  GDPR, care oferă persoanelor fizice garanții împotriva riscului ca o decizie potențial dăunătoare să fie luată fără intervenția omului.

Ce avem de făcut pentru asigurarea conformității cu acest drept? Nu trebuie decât să identificăm  dacă oricare dintre operațiunile noastre de procesare include un proces automat de luare a deciziilor și, bineînțeles, trebuie să ne actualizăm procedurile,  pentru a răspunde cerințelor GDPR.

Când se aplică acest drept? Conform Articolului 22, persoanele fizice au dreptul de a nu face obiectul unei decizii atunci când aceasta se bazează pe prelucrarea automată și poate produce un efect juridic sau un efect semnificativ similar asupra individului.

Dreptul se aplică tuturor deciziilor automate? Nu. Dreptul nu se aplică în cazul în care decizia:

  • este necesară pentru încheierea sau executarea unui contract între dvs. și persoana fizică;
  • este autorizată prin lege (de exemplu, în scopuri de fraudă sau prevenirea evaziunii fiscale)
  • pe baza consimțământului explicit. (Articolul 9, Alineatul (2));
  • atunci când o decizie nu are un efect legal sau similar semnificativ asupra unei persoane.

Ce reprezintă profilarea, în viziunea GDPR?

GDPR definește profilarea ca orice formă de procesare automată destinată să evalueze anumite aspecte personale ale unei persoane, în special pentru a le analiza sau a prezice:

  • performanța la locul de muncă;
  • situația economică;
  • starea de sănătate;
  • preferințele personale;
  • fiabilitatea;
  • comportamentul;
  • locația
  • deplasările.

La prelucrarea datelor cu caracter personal în scopuri de realizare a unui profil, trebuie să ne asigurăm că există garanții adecvate și să respectăm o serie de proceduri:

  • Trebuie mai întâi să ne asigurăm că procesarea este corectă și transparentă prin furnizarea de informații semnificative despre logica implicată, precum și despre semnificația și consecințele avute în vedere;
  • De preferat să folosim procedurile matematice sau statistice adecvate pentru profilare;
  • Se recomandă implementarea măsurilor tehnice și organizatorice adecvate care să ne permită remedierea erorilor și minimizarea riscului de eroare;
  • Trebuie să asigurăm datele personale într-o manieră proporțională cu riscul pentru interesele și drepturile individului și să prevenim efectele discriminatorii.

Urmăriți articolele publicate în cadrul inițiativei GDPR Ready!  În următorul material ne vom ocupa de Responsabilitate și Guvernanță în viziunea GDPR.

Articole anterioare:

GDPR explicitat (5): Dreptul de a fi informat si Ce informații trebuie trimise

 

AU MAI RĂMAS 300 zile

GDPR Ready! este o inițiativă care își propune să asigure un transfer deschis de know-how către toți cei interesați de asigurarea conformității cu Regulamentul Uniunii Europene 679/ 2016, care va intra în vigoare pe 25 mai 2018. 

Noul regulament pe care noi îl abordăm aici sub titulatura generica de GDPR vine cu unele drepturi noi pentru indivizi și consolidează unele dintre drepturile care existau deja in Legislația Europeana.

Astfel, GDPR oferă persoanelor fizice vizate de prelucrarea datelor cu caracter personal următoarele drepturi generale:

  1. Dreptul de a fi informat
  2. Dreptul de acces
  3. Dreptul la rectificare
  4. Dreptul de ștergere
  5. Dreptul de a restricționa procesarea
  6. Dreptul la portabilitatea datelor
  7. Dreptul la obiect
  8. Drepturi legate de luarea de decizii automatizate și de profilare

 

Dreptul de a fi informat

 

Ce este Dreptul de a fi informat?

Dreptul de a fi informat se refera la obligația  de a furniza “informații corecte de procesare”, de obicei printr-o notificare privind confidențialitatea. Acesta subliniază nevoia de transparență în ceea ce privește modul în care utilizați datele cu caracter personal.

 

Ce informații trebuie furnizate subiecților prelucrării?

Să presupunem că sunt un operator de date personale.  Prin dreptul de a fi informat, GDPR îmi stabilește informațiile pe care trebuie să le furnizez și când trebuie subiecții prelucrării datelor personale să fie informați de către mine ( în mod implicit, firma mea, prin persoana autorizată).

Principalul atribut al datelor ce trebuie furnizate este Transparența. Conform GDPR Articolul 12: ”Transparența informațiilor, a comunicărilor și a modalităților de exercitare a drepturilor persoanei vizate”, informațiile pe care trebuie sa le furnizez trebuie să fie:

  • Concise
  • Transparente,
  • Inteligibile
  • Accesibile;
  • Scrise într-un limbaj clar și simplu
  • În special dacă este mă adresez unui copil
  • Oferite gratuit

 Informațiile pe care le furnizez sunt dependente de modul în care am obținut datele personale pe care vreau să le prelucrez:

  • direct de la persoane fizice care fac obiectul prelucrării datelor personale
  • indirect, pentru cazurile în care informațiile mi-au venit din altă sursă.

O mare parte din informațiile pe care trebuie să le furnizăm sunt deja  în concordanță cu obligațiile mele actuale, conform legislației existente. Dar in plus,  au apărut și alte informații pe care trebuie să le furnizez  în mod explicit.

Ce informații trebuie furnizate?

Să vedem deci, care sunt principalele categorii de informații care trebuie furnizate în situația în care am obținut datele personale direct de la client. Conform Articolului 13: ”Informaţii care se furnizează în cazul în care datele cu caracter personal sunt colectate de la persoana vizată”, Alineatul 1, trebuie să furnizez personai vizate următoarele infrmații:

  • identitatea şi datele mele de contact – ca operator, și după caz și ale mele personale – ca reprezentant al acestuia
  • datele mele de contact ca responsabil cu protecţia datelor, după caz ca ofițer de protecție a datelor personale (DPO);
  • scopurile în care vreau să prelucrez datele cu caracter personal, precum şi temeiul juridic al prelucrării (baza legală);
  • interesele legitime pe care le urmăresc (ca operator sau ca o terță parte) – cu excepțiile de la Articolul 6 alineatul (1) litera (f) – Legalitatea prelucrării;
  • care sunt destinatarii sau categoriile de destinatari ai datelor cu caracter personal;
  • intenţia mea de a transfera date cu caracter personal către o ţară terţă și care sunt garanțiile pe care le ofer că acest transfer este perfect legal și nu lezează interesele persoanei vizate;

În plus, în momentul în care am obținut deja datele cu caracter personal, conform Articolului 13, Alineatul 2, eu ca operator trebuie să furnizez persoanei vizate o serie de informaţii suplimentare, necesare pentru a asigura transparența prelucrării:

  • perioada de reținere a datelor sau criteriile folosite pentru a stabili această perioadă;
  • dreptul la rectificare, ștergere, restricționare, obiecții;
  • dreptul la portabilitatea datelor;
  • dreptul de a retrage consimțământul în orice moment, dacă este cazul;
  • dreptul de a depune o plângere la o autoritate de supraveghere;
  • dacă solicitarea face parte dintr-o cerință sau obligație legală sau contractuală și posibilele consecințe ale nefurnizării;
  • existența unui proces automat de luare a deciziilor ( incluzând profilarea) și modul în care sunt luate deciziile, semnificația și consecințele acestora.

Dacă eu, ca operator vreau să prelucrez datele cu caracter personal și/ sau într-un alt scop decât cel pentru care acestea au fost colectate, atunci, înainte de orice prelucrare ulterioară, sunt obligat să furnizez persoanelor vizate toate informaţiile relevante prvitoare la scopul sau scopurile secundare.

Ce se întâmplă în sitația în are datele personale nu ne-au fost furnizate în mod direct de către persoanele vizate?

În acest caz, conform Articolului 14, sunt obligat ca operator să furnizez persoanei vizate întregul set de informații descrise puțin mai sus, de la ambele Alineate ale Articolului 13, plus următoarele informații obligatorii doar pentru acest caz:

  • care sunt categoriile de date personale pe care le am la dispoziție
  • care e sursa publică de date cu caracter personal, după caz care provine de la surse accesibile publicului;

Pentru a ne descurca mai bine în acest labirint de informații, legi și paragrafe, am făcut o sinteză a informațiilor care trebuie funizate în ambele sitații discutate anterior:

 

Ce informații trebuie să dau Date venite direct de la subiect Date provenite din alte surse
Identitatea și datele de contact (operator + reprezentant)

DA

DA

Datele de contact DPO

DA

DA

Scopul în care se prelucrează datele

DA

DA

Interesele legitime urmărite

DA DA

Destinatarii sau categoriile de destinatari

DA

DA

Categoriile de date personale

NU

DA

Intențiile de transfer al datelor

DA

DA

Perioada de reținere a datelor

DA

DA

Dreptul la rectificare, ștergere, restricționare, obiecții

DA

DA

Dreptul la portabilitatea datelor

DA

DA

Dreptul de retragere a consimțământului

DA

DA

Dreptul la plângere/notificare

DA

DA

Care e sursa publică de date cu caracter personal

NU DA
Existența unei obligații legale sau contractuale

DA

NU

Existența unui proces automat de luare a deciziilor

DA

DA

  

Când trebuie furnizate informațiile?

O modificare importantă față de legislația anterioară este scurtarea perioadei în care sunt obligat să răspund solicității de informare primită de la persoana vizată. Conform Articolului 12, Alineatul 3:

  • Timpul maxim de răspuns s-a scurtat de la 40 de zile la 30 de zile. Deci eu, ca operator trebuie să furnizez persoanei vizate informaţii privind acţiunile întreprinse în urma une cereri fără întârzieri nejustificate şi în orice caz în cel mult o lună de la primirea cererii;
  • Atunci când e necesar, din motive legate de comlexitatea și volumul cererilor primate simultan, această perioadă poate fi prelungită până la două luni. Chiar și în aceste condiții de prelungire, trebuie să informez persoana vizată de această prelungire tot în intervalul de o lună;
  • Pentru cererile trimise în format electronic, informaţiile trebuie furnizate în format electronic – acolo unde este posibil, cu excepţia cazului în care persoana vizată solicită informațiile într-un alt format.

Urmăriți articolele publicate în cadrul inițiativei GDPR Ready! În următorul material vom parcurge în continuare Drepturile persoanei vizate  – Capitolul IV din GDPR.

 

 

Articole anterioare:

Efectul disruptiv al GDPR

Intrarea în vigoare a noului regulament al protecției datelor personale pe 25 Mai 2018, se anunță deja ca un eveniment major al viitorului an. Va fi ”Ziua – Z”, cu efecte apocaliptice, pentru multe companii care nu vor avea resursele și timpul să adopte toate măsurile necesare pentru îndeplini cerințele GDPR… 

Vă mai amintiți de ”Virusul Anului 2000” sau ”Problema Mileniului”? A fost o mișcare strategică nemaipomenită de înnoire a infrastructurii și echipamentelor de calcul bazată pe o provocare tehnologică a extinderii numărului de digiți. Până la urmă au fost foarte puține întreruperi ale marilor sisteme de calcul, cu pierderi minore, dar toată lumea  avut de câștigat prin boomul investițiilor în noi echipamente și infrastructură…

Noul regulament EU 2016/ 679 vine cu o forță a schimbării fără precedent, care pentru multe organizații are toate șansele să aibă un efect disturbator mult mai mare decât valul digital de care tot vorbim de o vreme încoace. Geneza nu a fost ușoară. Gândit ca o actualizare absolut necesară a Directivei 95/46/EC, GDPR s-a consolidat după 4 ani de dezbateri și 3000 de amendamente. Peste 80 de noi cerințe au apărut față de vechea directivă. Multe companii vor fi nevoite să facă schimbări radicale în modele de business. Unii spun că vom fi nevoiți să reconsiderăm radical actualele procese de marketing. Potrivit Digital Clarity Group, “GDPR ar putea fi o amenințare de moarte pentru existența multor companii și obligă la adoptarea de decizii fundamentale cu privire la colectarea, prelucrarea și stocarea datelor în probleme cheie din strategia de afaceri.”

Noul regulament EU 2016/ 679 vine cu o forță a schimbării fără precedent, care pentru multe organizații are toate șansele să aibă un efect disturbator mult mai mare decât valul digital de care tot vorbim de o vreme încoace.

 

Un vectori esențial al noului regulament este aria de aplicabilitate. Înainte existau tratate regionale precum “Safe Harbor” care oferea companiilor americane confortul necesar în procesarea datelor clienților din Europa. Principiile de confidențialitate stipulate de Safe Harbor au fost anulate de către Curtea Europeană de Justiție pe 24 Octombrie 2015, după ce un client s-a plâns că datele sale de pe Facebook au fost insuficient protejate.  GDPR a devenit brusc o mare provocare pentru toate multinaționalele.

Alte prevederi majore ale noului regulament cu posibile efecte disruptive ar mai fi:

Amenzile – Penalizările sunt copleșitor de mari, cu maxime ce se referă la 4% din cifra de afaceri globală anuală. De notat că aceste prevederi se aplică atât celor care gestionează datele, cât și celor care le procesează – ceea ce extinde obligativitatea GDPR și asupra companiilor care oferă servicii de hosting sau furnizorilor de Cloud.

Consimțământul – companiile nu vor mai putea folosi termeni contractuali necompatibili GDPR sau cu clauze greu de probat. Consimțământul trebuie să fie clar și liber de orice impunere, iar solicitarea inteligibilă și cu o solidă argumentare a scopului în care se procesează datele. ​

Notificarea breșelor de securitate – devine obligatorie pentru toate țările membre ale comunității. Orice incident trebuie comunicat către autoritățile de raportare în maximum 72 de ore de când breșa a fost constatată. Procesatorii vor trebui să își anunțe și clienții, imediat după ce s-a dovedit că incidentul de securitate a afectat datele personale ale acestora.

Dreptul la acces – parte din drepturile extinse ale cetățenilor în noul format al GDPR se referă la dreptul acestora de a solicita procesatorilor sau controlorilor de date confirmări legate de modul în care datele personale sunt procesate, unde și în ce scop.

Dreptul de a fi uitat – cunoscut și ca ”dreptul de a fi șters”, asigură deplina confidențialitate prin ștergerea tuturor înregistrărilor cu caracter personal, chiar și în situațiile de diseminare de date sau folosirea potențială de către terți.

Portabilitatea datelor – se referă la dreptul oricărui cetățean de a primi datele personale într-un format prestabilit, ușor de citit de către orice dispozitiv, care poate fi transmis la solicitarea posesorului unui alt procesator de date.

Confidențialitate prin design – ”
Privacy by design” este un concept care se folosește de mult, dar care abia acum devine parte din pachetul de cerințe GDPR.  În esență, constă în includerea instrumentelor de protecție a datelor încă de la început, de la proiectarea unui sistem informatic.

Data Protection Officers (DPO) Un studiu IAPP estimează un necesar de peste 28000 de ofițeri DP în toată Europa. Deținătorul acestei poziții va fi mandatarul conformității GDPR, urmând să cumuleze expertiză legală, operațională și IT.

Sunt analiști care văd în GDPR o încercare benefică pentru business. Orice companie care a depus eforturi și a investit în măsuri de asigurare a conformității, a parcurs o bună etapă în transformarea sa digitală. 

AU MAI RĂMAS 316 zile

Urmariti articolele cu logo-ul GDPR Ready!  o inițiativă care își propune să asigure un transfer deschis de know-how către toți cei interesați de asigurarea conformității cu Regulamentul Uniunii Europene 679/ 2016, care va intra în vigoare pe 25 mai 2018.

 

Acest articol a fost publicat si in revista IT Trends din Iunie 2017 si poate fi citit si AICI

GDPR explicitat (3): Respectați principiile și demonstrați-vă conformitatea activităților

AU MAI RĂMAS 318 zile

GDPR Ready! este o inițiativă care își propune să asigure un transfer deschis de know-how către toți cei interesați de asigurarea conformității cu Regulamentul Uniunii Europene 679/ 2016, care va intra în vigoare pe 25 mai 2018.

 

Și iată-ne ajunși la partea de principii. Sub GDPR, principiile de protecție a datelor stabilesc principalele responsabilități pentru organizații. Principiile sunt similare cu cele din Legea 677/2001, cu detalii adăugate la  anumite puncte și o nouă cerință pentru responsabilitate. În fond, acest principiu al responsabilității este unul dintre vectorii cheie ai GDPR. Operatorii de date personale sunt obligați nu numai să respecte aceste principii, ci și să demonstreze modul în care sunt activitățile lor sunt conforme cu principiile prelucrării datelor personale.  Dar hai sa le vedem pe rând.

Care sunt principiile GDPR? Le găsim în Art.5: ”Principii legate de prelucrarea datelor cu caracter personal”:

a). Legalitate, echitate şi transparenţă – acesta este un principiu esențial, strâns asociat cu drepturile fundamentale ale omului. Datele cu caracter personal trebuie să fie prelucrate ”în mod legal, echitabil şi transparent faţă de persoana vizată.”

b). Limitări legate de scop – datele personale trebuie să fie colectate în scopuri bine determinate, explicite şi legitime, iar prelucrările ulterioare nu trebuie să se abată de la aceste scopuri. E important aici să reținem că prelucrarea publica prin arhivare, pentru cercetare ştiinţifică/ istorică sau pentru analize statistice nu se considera ca deviantă de la scopurile iniţiale – așa cum se arată în Art. 89, alin. 1.

c). Reducerea la minimum a datelor – prin acest principiu operatorii sunt avizați de faptul că orice colectare de date personale trebuie foarte bine analizată înainte de obținerea efectivă a datelor, care trebuie să fie cele mai relevante și strict limitate la ceea ce este absolut necesar pentru scopurile în care sunt prelucrate.

d). Exactitatea informațiilor – operatorii trebuie să se ia toate măsurile pentru a asigura validitatea datelor, iar cele dovedite inexacte trebuie actualizate rapid sau șterse.

e). Limitarea stocării – datele trebuie păstrate fix atâta timp cât sunt necesare pentru pelucrarea asumată. Perioadele mai lungi de stocare sunt excepții asociate cu activități publice de arhivare, cercetare sau statistica, conform Art. 89, alin. 1.

f). Integritate și confidențialitate – iarăși un principiu esențial. Prelucrarea datelor personale trebuie făcută în cele mai proprii condiții de siguranță, care să includă ”protecţia împotriva prelucrării neautorizate sau ilegale şi împotriva pierderii, a distrugerii sau a deteriorării accidentale, prin luarea de măsuri tehnice sau organizatorice corespunzătoare”.   Din punctul meu de vedere, acesta este un vortex al GDPR. Cine nu respectă acest principiu este direct expus la breșe de securitate și confidențialitate, fiind un candidat sigur pentru extrem de severele penalități.

Așa cum spuneam și puțin mai sus, în partea introductivă a acestui articol, aceste principii se regăsesc și în legislația actuală. Dacă luăm Directiva 95/ 46 EC la Art. 6 din Capitolul ”Principii legate de calitatea datelor” găsim că datele cu caracter personal trebuie să fie:

a). prelucrate cu bună-credință – conform dispozițiilor legale;

b). colectate în scopuri determinate, explicite şi legitime – cu același amendament legat de prelucrarea științifică și statistică, dar fără operațiunile de arhivare în interes public prezente în GDPR;

c). adecvate, pertinente şi neexcesive – prin raportare la scopul în care sunt colectate şi ulterior prelucrate;

d). exacte şi, dacă este cazul, actualizate –  cu recomandarea ca datele inexacte sau incomplete să fie şterse sau rectificate;

e). stocate într-o formă care să permită identificarea persoanelor vizate strict pe durata necesară – cu completarea legată de condițiile și garanțiile aferente stocării pe termen lung.

Marea diferență față de textul Directivei 95/ 47 apare la Aliniatul 2:

  • În Directiva Comisiei Europene (Art.6, Alin.2) se arată că: ”Operatorul trebuie să se asigure că se respectă alineatul (1)”
  • În GDPR (Art. 5, Alin.2) apare clar principiul responsabilității: ”Operatorul trebuie să fie responsabil de respectarea alineatului (1) şi să poată demonstra această respectare (“responsabilitate”).”

Cu alte cuvinte, cea mai importantă adăugare la GDPR este principiul responsabilității. GDPR vă cere nu numai să respectați principiile – de exemplu, prin documentarea deciziilor luate cu privire la o activitate de procesare, ci și să demonstrați oricând această responsabilitate. Dar, în opinia mea, noțiunea de ”accountability”, introdusă în textul original al GDPR  înseamnă puțin mai mult decât o simplă ”responsabilitate”. Descrierea Cambridge English Dictionary e concludentă pentru asta: ”Someone who is accountable is completely responsible for what they do and must be able to give a satisfactory reason for it”

Mergând la textul legislației naționale, paragraful 2 din Art. 4 nu diferă forte mult de conținutul Art. 5 din GDPR. Astfel, în Legea 677/2001, Art.4, Alin 2. se specifică: Operatorul este responsabil de respectarea alineatului (1) şi poate demonstra această respectare (“responsabilitate”).”

Concluzionând, iată ce am reținut ca extrem de important din capitolul despre Principii (a se vedea GDPR Considerentul 39):

  • Orice prelucrare de date cu caracter personal trebuie să fie legală şi echitabilă.
  • Principiul transparenţei prevede că orice informaţii şi comunicări referitoare la prelucrarea respectivelor date cu caracter personal trebuie să fie uşor accesibile şi uşor de înţeles şi că se utilizează un limbaj simplu şi clar.
  • Persoanele fizice trebuie informate cu privire la riscurile, normele, garanţiile şi drepturile în materie de prelucrare a datelor cu caracter personal şi cu privire la modul în care să îşi exercite drepturile în legătură cu prelucrarea.
  • Scopurile specifice în care datele cu caracter personal sunt prelucrate trebuie să fie explicite şi legitime şi să fie determinate la momentul colectării datelor respective.
  • Datele cu caracter personal trebuie să fie adecvate, relevante şi limitate la ceea ce este necesar pentru scopurile în care sunt prelucrate.
  • Datele cu caracter personal ar trebui prelucrate doar dacă scopul prelucrării nu poate fi îndeplinit în mod rezonabil prin alte mijloace.
  • Operatorul trebuie să stabilească termene pentru ștergere sau revizuirea periodică.
  • Datele personale trebuie prelucrate într-un mod care să asigure în mod adecvat securitatea şi confidențialitatea, inclusiv în scopul prevenirii accesului neautorizat la acestea sau utilizarea neautorizată a datelor cu caracter personal şi a echipamentului utilizat pentru prelucrare.

Urmăriți articolele publicate în cadrul inițiativei GDPR Ready! În următorul material ne vom ocupa de Legalitatea prelucrării datelor cu caracter personal – Art. 6 din GDPR.

Articole anterioare:

INIȚIATIVA ”GDPR READY!”

 

Inițiativa GDPR Ready!  își propune să asigure un transfer deschis de know-how către toți cei interesați de asigurarea conformității cu Regulamentul Uniunii Europene 679/ 2016, care va intra în vigoare pe 25 mai 2018. Pentru operatorii și procesatorii de date personale obținerea conformității GDPR la nivel organizațional presupune un proces extrem de complex ce începe cu înțelegerea datelor senzitive și a locației lor, accesului la date și procesele de business în care se utilizează. Prin GDPR Ready! aveți acces la toate resursele necesare pentru înțelegerea implicațiilor noilor prevederi ale acestui Regulament, evaluarea acțiunilor care se impun la nivel de organizație și punerea lor în practică sub cele mai bune auspicii.

A trecut vremea discuțiilor. E timpul să trecem la fapte

Inițiativa ”GDPR Ready!” a fost gândită pornind în primul rând de la o nevoie reală de informare. În ciuda evenimentelor tot mai numeroase pe subiectul GDPR și a discuțiilor în social media, perceperea GDPR ca ”ceva extrem de important” pentru sănătatea de business a organizației noastre se află încă la un nivel destul de redus. Volumul care poate părea covârșitor de informații, arabescurile cadrului legal, lipsa unei culturi de project management, dar mai ales lipsa unei percepții clare asupra implicațiilor GDPR la nivel managerial sunt tot atâtea frâne în elaborarea unor planuri concrete de acțiune. Puțini înțeleg că procesul de obținere a conformității GDPR nu este un simplu proiect de IT și nici o atribuție exclusiva a departamentului de legal. Acest proces necesită o acțiune concentrată și complexă din partea tuturor celor implicați în procesarea datelor personale dintr-o organizație. Cam asta ne-am propus prin această inițiativă în Iunie 2017, plecând în primul rând de la nevoia de cunoaștere. Spre bucuria noastră, un mare număr de specialiști și organizații s-au implicat în proiectele demarate în cadrul inițiativei ”GDPR Ready!”.

Ce trebuie să știe companiile care operează cu date personale în România?

Comunitățile și industriile au nevoie să cunoască mai bine ce au de făcut și să înceapă activitățile ce vor asigura premisele de obținere a conformității. De aceea toate activitățile propuse și efectuate sub umbrela inițiativei ”GDPR Ready!” au ca obiectiv:

  • Conștientizarea importanței GDPR în contextul transformărilor digitale
  • Înțelegerea noilor prevederi ale GDPR
  • De ce e nevoie ca operatorii de date personale să devină compatibili cu noile reglementări?
  • Care sunt sancțiunile?
  • Care sunt problemele pe care le au de rezolvat operatorii de date personale ce oferă servicii online sau bazate pe Cloud
  • Care sunt problemele legale și administrative?
  • Care sunt problemele operaționale?
  • Care sunt problemele tehnice?
  • Care sunt pașii pentru pregătirea și obținerea compatibilității?
  • Cine ne consiliază?
  • Cui alocam responsabilitatile de DPO (Data Protection Officer)?
  • Cine ne certifică ofițerii responsabili cu protecția datelor?

Ce acțiuni a inițiat și a susținut cloud☁mania în cadrul inițiativei ”GDPR Ready!”

Articole GDPR Explicitat* – o serie de 15 articole ce explică principalele problematici GDPR pe înțelesul tuturor. Iată aici lista completă  a acestora și link-urile către articolele respective:

 

Pagină dedicată GDPR Q&A  – ”Cele mai frecvente întrebări și răspunsuri despre GDPR”

Catalog GDPR Ready* – primul cataog din România dedicat ofertelor de soluții și servicii pentru alinierea la GDPR, Editat in Octombrie 2017 în parteneriat cu trustul de presă Agora Media. Disponibil in format print si online.

NOU! Catalog GDPR Practic** – o continuare firească a primului Catalog GDPR, dedicat aspectelor practice asociate cu proceduri, procese și soluții pentru protecția datelor personale. Publicare estimată la sfârșitul lunii Ianuarie 2018**.

Parteneriat Media – eveniment Noua ordine europeană pentru protecția datelor personale organizat de agenția Concord Communication în Bucuresti, 12 octombrie 2017 și având ca partener principal casa de avocatură Mușat & Asociații.

Moderare Panel GDPR în cadrul evenimentului organizat de ALEF Distribution** pentru partenerii sai, Predeal 5-7 Octombrie 2017.

Prezentări dedicate GDPR* la evenimente precum RoCS 2.0 (23 Noiembrie 2017) și conferința ”Data Centers and IT Infrasructure Management”, (12 decembrie 2017).

Grup de discuții GDPR Ready pe LinkedIn** – Grup deschis pentru toti cei interesati de conformitatea GDPR: întrebări, dezbateri, interpretări, recomandări, proceduri, standarde, soluții, evenimente, cercetări de piață, studii de caz, best practices. Până acum avem peste 100 de membri. Cei interesați se pot înregistra la adresa: https://www.linkedin.com/groups/13562247

ÎN CURÂND! Newsletter GDPR Ready!* – Serviciu săptămânal de informare a abonaților interesați de știri de ultimă oră despre GDPR, recomandări, comentarii, definiții, noi soluții și tehnologii dedicate, studii de caz, etc.

NOU! Pachet de servicii personalizate de consiliere și instruire GDPR** – O ȘEDINȚĂ GRATUITĂ DE CONSILIERE DE 3 ORE. Cei interesați sunt rugați să completeze formularul de contact din partea de jos a paginii. 

Note:

*Disclaimer

Conținutul paginii ”GDPR Ready! Initiative”, conținutul tuturor articolelor de pe siteul cloud☁mania postate la categoria ”GDPR Ready!”, precum și conținutul tuturor materialelor menționate pe această pagină reprezintă opinia personală a autorului despre GDPR la data publicării, în conformitate cu un mare volum de documente și surse publice consultate în calitate de analist de piață. Prin urmare, acest conținut este furnizat doar în scopuri informative și nu trebuie să fie asociat unor activități profesionale de consultanță juridică, operațională sau tehnologică.

Pentru a determina modul în care GDPR se poate aplica pentru dvs. și organizația dvs. vă încurajăm să colaborați cu consultanții acreditați din punct de vedere juridic sau cu specialiștii certificați DPO, singurii în măsură să vă ofere recomandări viabile despre GDPR, modul în care se aplică în mod specific organizației dvs. și cum se poate asigura cea mai bună conformitate. Orice alte activități de consiliere individuală se vor supune contractelor de prestări servicii aferente. 

**Contact request

Cei intersesați de informații suplimentare sunt rugați să ne contacteze prin completarea formularului de mai jos.  

 

%d bloggers like this: