AȘTEPTĂM PRIMA AMENDĂ SAU NE OCUPĂM DE CONFORMITATE ÎNAINTE SĂ NI SE ÎNTÂMPLE CEVA?

Pe 21 Mai, la hotelul Pullman, GDPR Talks organizat de agenția Concord Communication a fost unul dintre primele evenimente organizate în această săptămână care au avut ca temă  fenomenului GDPR din Romania, după un an de la intrarea in vigoare. Panelurile au fost gândite în așa fel încât sa acopere cât mai bine largul spectru de probleme care ne-au dat bătaie de cap, invitând la discuții oameni care vin din diferite culturi, cu diferite experiențe, din mediul public sau privat, reprezentând companii mai mari sau mai mici, asociații profesionale sau consultanți independenți, dar toți animați aceeași dorință de a împărtăși din propriile experiențe.

Primele două paneluri de discuții au abordat realizările și dificultățile GDPR din perspectiva sectorului public si a celui privat. Al treilea panel a fost o premieră pentru Romania, abordând tematica Digital Ethycs, o temă de care se va vorbi tot mai mult, pe măsura asimilării noilor tehnologii, care vin cu noi riscuri pentru protecția datelor personale și a drepturilor și libertăților fundamentale.

Din stanga: Yugo Neumorni, Nelu Munteanu, Catalin Giulescu, Simona Zanfir

Sectorul Public între penuria de specialiști și relaxarea generată de lipsa amenzilor

Panelul de discuții dedicat evoluției GDPR din perspectiva sectorului public, pe care am avut bucuria să îl moderez, s-a bucurat de o participare numeroasă și reprezentativă: Simona Zanfir – Consilier Birou Juridic ANSPDCP, Cătălin Giulescu – Specialist GDPR, Nelu Munteanu – Director Tehnic CERT.RO, Yugo Neumorni – Președinte CIO Council România, Silvia Axinescu – Senior Managing Associate Reff & Associates / Deloitte Romania, Iurie Cojocaru – Managing Associate CIPP/E NNDKP și Marius Dumitrescu – Președinte Asociația Specialiștilor în Confidențialitate și Protecția Datelor România.

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal a fost reprezentată de Doamna Simona Zanfir, consilier Birou Juridic și Comunicare, care a făcut o trecere în revistă a activității ANSPDCP în ultimul an:

  • Legea nr. 129/2018 pentru modificarea şi completarea Legii nr. 102/2005 privind înființarea, organizarea şi funcționarea ANSPDCP, precum şi pentru abrogarea Legii nr. 677/2001
  • Legea nr. 190/2018 privind măsuri de punere în aplicare a Regulamentului (UE) 2016/679.
  • Decizia nr. 99/2018 privind încetarea aplicabilității unor acte normative cu caracter administrativ emise în aplicarea Legii nr. 677/2001.
  • Decizia nr. 128/2018 privind aprobarea formularului tipizat al notificării de încălcare a securității datelor cu caracter personal în conformitate cu Regulamentul (UE) 2016/679
  • Decizia nr. 133/2018 privind aprobarea Procedurii de primire și soluționare a plângerilor
  • Decizia nr. 161/2018 privind aprobarea Procedurii de efectuare a investigațiilor
  • Decizia nr. 174/2018 privind lista operațiunilor pentru care este obligatorie realizarea evaluării impactului asupra protecției datelor cu caracter personal.

Așteptate cu mult interes de către participanți au fost datele statistice legate de activitatea Autorității:

  • 391 încălcări de securitate a datelor notificate până la 17 mai 2019, investigate în totalitate.
  • 69 investigații efectuate ca urmare a sesizărilor primite
  • 456 investigații efectuate la plângerile persoanelor vizate de către Autoritate până la 01 mai 2019
  • 9335 DPO înregistrați la Autoritate până la data de 1 mai 2019

O prezență deosebită în primul panel a fost Cătălin Giulescu, pe care l-am invitat nu pentru funcția și poziția sa actuală, ci pentru experiența de peste 15 ani acumulată în domeniul protecției datelor personale. Cătălin este printre primii specialiști în protecția datelor din România, este DPO certificat de EIPA și a fost coordonatorul echipei tehnice care a gestionat negocierile la nivel european pentru elaborarea și adoptarea GDPR. Principalul sfat al lui Cătălin Giulescu pentru toți participanții a fost să nu ne lăsăm copleșiți de complexitatea unei situații și să încercăm să abordăm dificultățile cu calm: ”Un process de obținere a conformității GDPR este un fenomen extrem de complex și de fluid și fiecare etapă sau problemă trebuie abordată cu mult calm”. Cătălin a răspuns la un mare număr de întrebări venite din sală și chiar din partea celorlalți paneliști, dezamorsând una dintre cele mai critice probleme, aceea a aplicării unui sistem diferit de penalizare pentru organizațiile din sectorul public și privat. Exista falsa impresie că această situație se regăsește numai în România,   În realitate, acest sistem a fost gândit chiar la nivelul Uniunii Europene, ca o consecință a capacității restrânse de adaptare la risc ce se manifestă în sectorul public.

Începând din data de 2 mai 2019 a devenit disponibil numărul unic 1911 pe care Centrul Național de Răspuns la Incidente de Securitate Cibernetică îl pune la dispoziție pentru raportarea incidentelor de Securitate. Nelu Munteanu, director tehnic la CERT.RO ne-a oferit câteva detalii despre înființarea acestui call-center care poate oferi o asistență primară și consiliere persoanelor fizice, juridice și instituțiilor publice care raportează incidente de Securitate cibernetică. Din perspectiva GDPR, care vine cu obligativitatea ca fiecare organizație să aibă un plan de raportare a breșelor și o echipă de intervenție în caz de breșă, existența acestui serviciu de urgență specializat oferă operatorilor de date personale posibilitatea efectuării unei analize mult mai exacte cu privire la natura incidentului și amploarea lui, ajutând la luarea deciziei de notificare a breșei către Autoritate, atunci când este cazul, în termenul de 72 de ore hotărât. Nelu Munteanu a prezentat și alte activități și proiecte de conștientizare în care este implicate CERT.RO, precum supervizarea aplicării NIS în România, dar și buna colaborare cu Autoritatea și alte instituții publice și private pentru creșterea gradului de Securitate în spațiul cibernetic.

Printre cei mai profund implicați în problemele ridicate de GDPR sunt directorii informatici, care se află în prima linie în continua bătălie cu atacurile cibernetice dar și cu asigurarea măsurilor interne de reducere a vulnerabilităților datorate erorilor umane. Yugo Neumorni, Președinte CIO Council România s-a referit la preocupările concrete ale asociației profesionale a directorilor informatici, care în ultimii doi an a derulat o serie de proiecte speciale destinate asigurării condițiilor optime de securizare și eficientizare a sistemelor informatice. Există, din păcate, destule organizații în care aplicarea GDPR este percepută în mod eronat ca fiind o responsabilitate exclusivă a CIO când aceasta aparține, în realitate, Board-ului. Din perspectiva CIO, fenomenul GDPR aduce o mare provocare profesională și mult stres, dar și un sprijin și o argumentație în plus la constituirea bugetelor IT” a apreciat Yugo Neumorni. Una dintre marile probleme ridicate de GDPR este asigurarea efectivă a dreptului la ștergere a datelor personale ale unei persoane vizate. Se știe foarte bine că este destul de dificil din punct de vedere tehnic și costisitor, în același timp, să se asigure ștergerea unor seturi de date în cazul unor sisteme informatice, în marea lor majoritate heterogene, unde sistemele de backup sunt implementate pe diferite nivele și, evident, în diferite locații. Specialiștii așteaptă elaborarea unor seturi de recomandări care să faciliteze efectuarea operațiunilor necesare în cazul în care e nevoie să se răspundă la solicitări de acest fel.    

Radu Crahmaliuc, Marius Dumitrescu, Silvia Axinescu, Iurie Cojocaru

De la aspectele tehnice s-a trecut în mod natural la cele legale, ce pot fi însoți uneori cauze tehnice, precum procedurile asociate administrării multivalente a incidentelor de Securitate și rolul analizelor de impact în asigurarea conformității. Silvia Axinescu, Senior Managing Associate la Reff & Associates / Deloitte Romania a prezentat o interesantă abordare a utilității analizei de impact în cazul adoptării de noi tehnologii sau procese ce ar putea induce riscuri majore pentru securitatea datelor personale. O importanță apare o au și analizele de tip LIA (Legitim Interest Analyse) care sunt absolut obligatorii în cazurile în care legitimul interes este principalul temei legal la prelucrarea de date personale și unde trebuie menținută în permanență balanța între ceea ce pentru operator este un interes legitim, iar pentru persoana vizată un drept de asigurare a drepturilor și libertăților fundamentale. Iurie Cojocaru, Managing Associate la casa de avocatură NNDKP  a făcut o scurtă trecere în revistă a măsurilor organizatorice ce trebuie adoptate pentru reducerea riscurilor de apariție a unor incidente de Securitate, printre care și cele asociate instruirii corecte a angajaților și implementării politicilor și normelor interne. Sunt situații în care riscul apariției unor incidente de Securitate este datorat în proporție de peste 60-70% unor vulnerabilități interne, asupra cărora se poate acționa.

O prezență activă la organizarea și desfășurarea evenimentului a avut-o asociația profesională a DPO, reprezentată la discuțiile primului panel de Marius Dumitrescu, Președinte Asociația Specialiștilor în Confidențialitate și Protecția Datelor România, iar în sală de o numeroasă delegație de membrii ai asociației. Obiectivul ASCPD este de a oferi soluții concrete la problemele cu care se confruntă specialiștii în confidențialitate și protecția datelor, de a crește gradul de conștientizare a legislației și de a oferi membrilor săi un forum în care aceste subiecte să poată fi dezbătute, precum și un loc de pregătire profesională continuă. ASCPD militează pentru îmbunătățirea gradului de conștientizare cu privire la tehnologiile și legile care pun în pericol viață privată, pentru a se asigura că publicul este informat și implicat. Una dintre problemele ridicate de Marius Dumitrescu în cadrul discuțiilor din panel a fost cea legată de persoanele care sunt puse în postura de a activa ca DPO prin numirea conducerii și care nu posedă cunoștințele obligatorii necesare pentru exercitarea acestei funcții sau se află într-un posibil conflict de interese.

Sînziana Oghina, Bogdan Manolea, Ciprian Timofte

În Privat totul se vede altfel și orice risc poate deveni fatal pentru business

Așa cum anunțam în programul conferinței, al doilea panel a avut ca obiectiv realizarea unei perspective asupra GDPR din unghiul de vedere al mediului privat. Fiecare dintre invitații prezenți la discuții acumulează o bogată experiență în proiecte de implementare sau educație legate de GDPR, ceea ce a permis asigurarea unui climat de discuții deschis, colocvial, unde chiar diferențele de opinii au fost prezentate într-o manieră constructivă: Sînziana Oghină – Avocat Medlife, Ciprian Timofte – Managing Associate Țuca Zbârcea & Asociații, Bogdan Manolea – Trusted.ro, Daniel Suciu – Consultant GDPR, DPO Extern, iar ca moderator Tudor Galoș – ECPC-B DPO, Senior Consultant GDPR

Sînziana Oghină, Avocat Medlife a prezentat câteva dintre experiențele în domeniul privat, unde companiile mari au fost nevoite să ia mult mai în serios provocările GDPR. Cu toate eforturile pentru conformare depuse, elaborarea unor proceduri și a unor politici cu resurse interne sau externe și comunicarea acestora către angajați nu asigură conformitatea organizației. ”O soluție pentru o eficientă implementare și funcționare a Regulamentului este o mai buna informare, poate chiar organizarea unor workshopuri din partea Autorității, deoarece Regulamentul lasă multe locuri de interpretare”, a spus Sînziana Oghină.

Ciprian Timofte, Managing Associate, Țuca Zbârcea & Asociații a pus accentual pe necesitatea elaborării unor strategii la nivel de organizație, care să urmărească asimilarea regulilor și procedurilor la nivel intern. Din discuții a reieșit dificultatea acestui demers, oamenii fiind în general reticenți la schimbare. Constatare susținută cu exemple din situații reale și de ceilalți paneliști. O altă zonă de activitate importantă care a fost destul de puternic influențată de GDPR este marketingul. Noile condiții de obținere a consimțământului corelate cu obligativitatea respectării principiilor  promovate de GDPR determină departamentele și organizațiile de marketing să adopte o nouă disciplină, în care pe primul loc se găsește persoana vizată.

Bogdan Manolea – co-fondator Trusted.ro și Director Executiv al asociației pentru Tehnologie și Internet, a venit cu perspectiva provocărilor din zona de comerț electronic, unde există un cumul de norme, directive și regulamente ce guvernează funcționarea magazinelor online. Deși aici lucrurile par mai simple decât în alte zone de business, fiind vorba de Internet, totul ține de transparență, dar tocmai necesitatea respectării acestui principiu ridică o serie de mari probleme pentru cei care nu sunt pregătiți pentru asta, crezând că orice se poate posta pe Web. Marca de Încredere TRUSTED.ro este un program special de atestare dedicat magazinelor online și site-urilor profesionale. Cum  Internetul este un mediu transnaţional, iar reglementările legale pentru protecţia consumatorului nu pot fi singurul element care aduc dezvoltarea afacerilor online, sprin programele initiate și dezvoltate de Trust.ro se încearcă implicarea activă a mediului de afaceri în creşterea încrederii în domeniul în care activează. Chiar prin directiva privind comerţul electronic s-a încercat stipularea acestui lucru prin promovarea codurilor de conduită şi a metodelor extra-judiciare de rezolvare a disputelor ca opțiuni ce pot creşte comerţul electronic.

Daniel Suciu, Tudor Galos

Daniel Suciu – Consultant GDPR, DPO Extern are o bogată experiență în zona de protecție a datelor personale, atât la nivel de corporații, cât și pentru companii mici și mijlocii. Prin tot ceea ce face, Daniel încearcă să faciliteze accesul la informația generală, punând accentul pe aspectele practice din activitățile de zi cu zi, cu o grijă deosebită pentru detalii. Toate intervențiile susținute de Daniel au demonstrat o reală capacitate de transpunere în rolul clientului și de identificare cu cerințele acestuia. Una dintre temele de discuție de interes general a fost legată de provocările speciale cu care GDPR vine pentru companiile mici și mijlocii, care teoretic nu dispun de resursele necesare pentru investiții în tehnologie, fiind la fel de expuse la riscuri precum companiile mari. ”Soluții și abordări există pentru orice organizație implicată într-un proces de prelucrare a datelor personale. Diferența aici este că dacă sunt conștienți de amploarea acestor provocări pentru continuitatea în business, managerii unor companii mici sunt mult mai deschiși și mai dispuși să se implice direct în eforturile de asigurare a asigurare a conformității”, a spus Daniel Suciu..

Având rol de moderator, dar răspunzând aici și la câteva întrebări, Tudor Galoș a condus cu mult aplomb discuțiile, chiar dacă paneliștii aveau păreri total diferite. Tudor vine cu experiența unor mulți ani lucrați într-o mare corporație, dar și cu abilități acumulate în ultima perioadă, de când și-a deschis propriul cabinet de consultanță pentru business transformation și GDPR.

Catalin Gligan, Andreea Lisievici

Despre Etica Digitală din perspectiva unei noi generații de tehnologii de graniță

În premieră pentru evenimentele GDPR din România, cel de-al treilea panel a avut ca temă majoră modul în care transformările digitale respectă principiile GDPR și drepturile noastre fundamentale, adică articolele Art. 7 (Respectarea vieții private și de familie) și Art. 8 (Protecția datelor cu caracter personal) din Carta Drepturilor Fundamentale a UE. Revoluția digitală vine cu siguranță cu o grămadă de lucruri benefice, dar și cu foarte multe semne de întrebare legate de modul în care tehnologiile de graniță precum Cloud Computing, BigData, Analytics, IoT , Blockchain sau Inteligența Artificială pot garanta drepturile fundamentale ale utilizatorilor. În același timp, protecția datelor nu se face doar prin adoptarea de politici. Un rol de bază îl au și tehnologiile. Dar, e bineștiut: orice nouă tehnologie vine cu noi provocări, cu noi vulnerabilități de securitate care nu au apucat încă să fie studiate și evaluate. Cât este de importantă analiza de impact în adoptarea de noi soluții și ce se înțelege de fapt prin conceptele By Design si By Default?

În deschiderea discuțiilor legate de etica digitală, Cătălin Gligan – Marketing Coordonator la ESET Romania a prezentat un studiu de piață realizat de IDC pentru compania ESET. Au fost prezentate de asemenea și o serie de considerente care recomandă soluțiile ESET Data Loss Prevention pentru endpoint și pentru rețea ca alternative viabile pentru asigurarea prevederilor stipulate în Art.32 din GDPR, prin care operatorii și procesatorii de date sunt obligați să adopte și să implementeze măsuri tehnice şi organizatorice adecvate pentru garantarea securității datelor personale.

Ca invitați pentru acest panel i-am avut pe Andreea Lisievici, CIPP/E, partener PrivacyONE unul dintre cei mai activi specialiști GDPR în social media și pe Tudor Galoș, iar Cătălin Gligan a avut ocazia să răspundă unor întrebări din public legate de caracteristicile și funcționalitățile soluțiilor ESET. Discuțiile în cadrul panelului au pornit de la necesitatea ca orice nouă tehnologie revoluționară și disruptivă să servească în primul rând omului. Nu va exista niciodată un pericol real și critic de a fi înlocuiți în totalitate de roboți, drone și mașini care învață singure. Andreea a făcut o serie de comentarii extrem de pertinente legate de capcanele abordării greșite a unei politici de cookies și ce trebuie să conțină o informare corectă despre folosirea acestora, dar neuitând să facem același lucru pentru toate tehnicile de urmărire a unor parametrii ce reflectă locația sau preferințele noastre de consumatori. Un alt pericol sesizat de Andreea este cel al dispariției treptate a siteurilor care se bazează pe publicitate online, ca unică  sursă de finanțare. Alte teme discutate în care s-a implicat activ și Tudor se referă la așa zisa incompatibilitate între tehnlogia Blockchain și GDPR și la boomul pe care îl înregistrează tehnlogiile de Inteligență Artificială și refuzul de utilizare a tehnicilor de Recunoaștere Facială.

Conținutul prezentării ESET și rezultatele analizei de conformitate GDPR pentru politicele publicate pe website vor fi prezentate în alte articole dedicate.

Concluzionez acest articol cu un comentariu la întrebarea generală pusă tuturor participanților: Cum vedeți evoluția GDPR la noi în țară în anul care a trecut de la intrarea în vigoare? Cam toată lumea a fost de acord că scăderea bruscă de interes din ultimele 4-5 luni este un fenomen general. Cu toții am constatat că cei care au apucat să facă ceva pentru apropierea de un nivel ideal de conformitate s-au mulțumit cu ce au făcut, iar cei care nu au făcut mai nimic, își văd liniștiți de treabă văzând că nu pândește niciun pericol iminent. De altfel, în prezentarea Autorității s-a confirmat faptul că până acum nu au fost acordate amenzi, ci doar avertismente și măsuri corective.

Ce trebuie făcut ca să mai mișcăm lucrurile? Au fost păreri că apariția amenzilor ar redeștepta spiritele și ar pune lumea pe jar. Putem să ne mulțumim cu asta? Prea seamănă cu povestea cu drobul de sare…  

Photo Credit: Toate imaginile utilizate în acest articol aparțin Concord Communication

Advertisements

O ANALIZĂ GAP A CONFORMITĂȚII ÎN ROMÂNIA DUPĂ 1 AN DE GDPR

La un an de la  intrarea în vigoare a GDPR, agenția Concord Communication și GDPR Ready Initiative vă invită la un eveniment dezbatere ”GDPR Talks ce abordează o temă foarte fierbinte: Cât de pregătiți suntem la un an de la intrarea în vigoare a  noului regulament?”. Vă așteptăm pe 21 mai 2019 la hotelul Pullman să discutăm despre ce s-a făcut bine, ce s-a făcut rău, dar mai ales despre ce se mai poate face.

”Ce ați făcut în ultimul an?” Ar trebui să fie o întrebare obligatorie pentru toți cei implicați în activități legate de asigurarea conformității pentru protecția datelor personale. Dar pentru mulți decidenți, în special din zona organizațiilor publice, întrebarea ”cea grea” ar trebui să fie: ”Ce ați făcut în ultimii trei ani, stimabililor?” Mai trebuie să explic de ce…?

Panelurile de discuții pe care le-am gândit vor încerca să asigure climatul corespunzător pentru o analiză lucidă a realităților asociate cu nivelul de conformitate la care au ajuns operatorii de date personale. Au răspuns la invitația noastră de a participa ca speakeri un mare număr de specialiști, reprezentanți ai autorităților publice, asociațiilor profesionale, avocați, profesioniști, consultanți, specialiști în securitatea informației și furnizori de soluții cybersecurity. Din păcate, această perioadă fiind foarte încărcată cu evenimente, nu toți cei pe care i-am invitat au avut posibilitatea să participe la conferință. Unii dintre aceștia vor putea să-și aducă contribuția prin proiectele editoriale pe care vrem să le derulăm după evenimentul din 21 Mai.

Primul panel va avea ca tematică generală viziunea asupra GDPR din perspectivă publică. Reprezentanți ai autorității de supraveghere, organizații guvernamentale, asociații profesionale și case de avocatură vor avea greaua misiune de a crea o radiografie a modului în care principiile GDPR și drepturile persoanelor vizate sunt respectate în spațiul public. Grea misiune și pentru Moderator…

Al doilea panel, cum era și firesc, va oferi în contra-partidă o perspectivă asupra GDPR din unghiul de vedere al mediului privat. Aici am avut în vedere invitarea unor profesioniști, care indiferent de experiențele anterioare sunt acum capabili să răspundă unor întrebări pragmatice legate de strategiile de abordare a GDPR: greșeli și reușite în adopția GDPR, aspecte practice legate de proiectele de aliniere, recomandări oferite de oameni cu sute de ore de experiență în proiecte, aspecte legale și procedurale de care trebuie să țineți seama, recomandări de la specialiști care activează ca DPO sau erori frecvente legate de conformitatea GDPR a politicilor publice de pe paginile de Internet.

Până acum, se pare că vom acoperi cam tot. Ar mai fi nevoie de ceva? Păi, cam da… Dacă ne gândim care este unul dintre motive care a condus la actualizarea vechii directive europene din 1995 ar cam fi nevoie să facem legătura cu tehnologia. Dar nu oricum… E plină piața de oferte de soluții, care de care mai atotcuprinzătoare și rezolvatoare a tuturor problemelor pe care le ridică GDPR. Am simțit nevoia de ceva mai mult…

Și astfel, în premieră pentru evenimentele din România, cel de-al treilea panel va avea ca temă Etica Digitală, mai exact modul în care transformările digitale respectă principiile GDPR și drepturile noastre fundamentale. Revoluția digitală vine cu siguranță cu o grămadă de lucruri benefice, dar și cu multe semen de întrebare legate de modul în care tehnologiile de graniță precum Cloud Computing, BigData, Analytics, IoT , Blockchain sau Inteligența Artificială pot garanta drepturile fundamentale ale utilizatorilor. În același timp, protecția datelor nu se face doar prin adoptarea de politici. Un rol de bază îl au și tehnologiile. Dar, e bineștiut: orice nouă tehnologie vine cu noi provocări, cu noi vulnerabilități de securitate care nu au apucat încă să fie evaluate. Cât este de importantă analiza de impact în adoptarea de noi soluții și ce se înțelege de fapt prin By Design si By Default?

Aveți un interes special pentru GDPR?
Vreți să știți ce s-a făcut bine anul ăsta și ce nu?
Aveți întrebări la care nu a știut nimeni să vă răspundă?
Veniți la eveniment și veți putea discuta cu cei care știu…

Mai aveți încă dubii dacă trebuie să veniți? Nu uitați că evenimentul va fi exact peste O SĂPTĂMÂNĂ!  Hotelul Pullman. La Piața Presei, lângă World Trade Center.

AICI GĂSIȚI FORULARUL DE ÎNREGISTRARE

 

Errare humanum est. Sed perseverare diabolicum…

Cele mai frecvente erori umane ce pot afecta securitatea datelor personale

Un studiu Osterman Research arată că mai puțin de jumătate (42%) dintre organizațiile participante și-au instruit angajații cu privire la Regulamentul general privind protecția datelor (GDPR), de la intrarea acestora în vigoare. Este bine cunoscut faptul că lipsa de pregătire crește riscul de erori umane care pot duce la încălcări ale datelor. Vom analiza în continuare cele mai frecvente erori ale utilizatorilor și măsurile de prevenire pe care organizațiile ar trebui să le ia pentru a atenua daune potențiale.

  1. Credibilitatea ca expunere la Phishing

Ce se întâmplă: Phishingul și falsa identitate reprezintă 93% din încălcările legate de ingineria socială, iar e-mailul este cea mai vulnerabilă cale de atac (96%). De la scrisorile ce anunță câștiguri la loterie, la schimbarea conturilor bancare pentru plățile pentru furnizori, tentativele de înșelăciune ce urmăresc obținerea unor date confidențiale, parole de acces pentru aplicații de tip bancar, aplicații de comerț electronic, date despre cardurile de credit, tehnicile de manipulare a identității unei persoane sau a unei instituții se remarcă printr-o mare diversitate și, de ce nu, printr-o oarecare doză de ingeniozitate.

Vorbind despre companii, principala cauză pentru vulnerabilitatea angajaților în fața acestui gen de capcane este cât se poate de simplă: lipsa de instruire. În practica de consultanță am întâlnit destule organizații care nu numai că nu au o politică de IT, dar nici angajații nu au beneficiat de o instruire elementară. Alte organizații se ocupă de instruirea IT numai la angajare, neglijând importanța continuității și actualizării informațiilor, pe măsură ce tehnologiile de manipulare evoluează. Pe de altă parte, niște cursuri de pregătire extrem de tehnice pot devin plictisitoare. Cea mai eficientă metodă este cea a scenariilor scurte, în timpul ședințelor de team-building, în care angajații sunt puși în fața unor situații concrete, din lumea reală care arată pericolele reale ale atacurilor de inginerie socială.

Ce se poate face: Pe lângă elaborarea și diseminarea politicilor de Securitate IT, angajații trebuie să fie instruiți tot timpul, la intervale de timp periodice, într-o manieră cât mai interactivă, care să faciliteze asimilarea informațiilor.   Desigur, nici asta nu poate fi o garanție. Potrivit cercetărilor, 4% dintre oameni fac întotdeauna clic pe un atașament suspect. Prin urmare, este necesar să executați periodic teste de simulare a unor atacuri de phishing, pentru a verifica dacă antrenamentul a fost eficient și dacă angajații respectă cele mai bune practici și politici de securitate. Asta în paralel cu implementarea de instrumente de filtrare anti-spam pentru a reduce riscul și mai mult.

  1. Accesul neautorizat la resursele organizației

Ce se întâmplă: 55% dintre adulții care sunt angajați ai unei organizații permit ca membrii familiei sau prietenii să aibă acces la resursele de comunicare sau de calcul la domiciliu. Orice membru ale familiei sau orice prieten poate avea acces involuntar sau intenționat la date sensibile, precum listele de clienți și furnizori, conturile bancare ale organizației sau datele despre conducere și coleg. Ce este mai rău, există pericolul real ca un intrus să descarce programe malware care ar putea permite accesul la datele corporative, aplicațiile cloud și spațiile de stocare.

Ce se poate face: Introducerea ca element obligatoriu în Politica de Securitate a unor instrucțiuni cuprinzătoare privitoare la utilizarea resurselor de calcul și de comunicare ale companiei. Principala responsabilitate revine liderilor de departamente sau echipe, care trebuie să asigure punerea efectivă în aplicare a disciplinei de Securitate, vitală atât pentru siguranța datelor personale, dar mai ales a celor de business. O altă măsură recomandată este implementarea unor controale de securitate corespunzătoare pe dispozitive și sisteme, asigurarea faptului că toate dispozitivele sunt protejate prin parolă și autentificare multi-pas pentru toate dispozitivele și aplicațiile organizației. Există corporații care gestionează utilizarea propriilor dispozitive de către angajați prin Politica BYOD (Buy your own device), stabilind regulile de folosire a telefoanelor, tabletelor sau laptopurilor personale la locul de muncă, în deplasare sau acasă.

  1. Spune-mi cum îl cheamă pe cățelul tău ca să știu ce parolă ai

Ce se întâmplă: 66% dintre cei care nu utilizează un instrument de gestionare a parolei recunosc faptul că preferă să se întoarcă la parolele vechi. Aceasta poate fi o practică foarte riscantă, pentru că odată ce un cont este compromis, un atacator are acces la o varietate mai largă de active. Dincolo de reutilizarea parolei, alte riscuri includ utilizarea parolelor evidente (de ex. 12345678, abc, 1111 sau admin), lipsa unor politici de actualizare regulată și partajarea parolelor cu colegii de birou sau cu rudele.

Ce se poate face: În primul rând o instruire elementară a angajaților în legătură cu alegerea parolelor. Sunt firme care au astfel de prevederi în normele sau codurile interne de conduită. O politică de stabilire și actualizare a parolelor este obligatorie pentru orice organizație prelucrează date personale, fiind inclusă în politica generală IT. Orice instruire trebuie să înceapă cu un sfat elementar: ”Nu lipiți parolele de acces pe monitoarele PC-ului”…

4: Conturi privilegiate ca sursă de riscuri

Ce se întâmplă: Prin conturi cu privilegii ridicate se înțeleg acele conturi care beneficiază de o serie de facilități de acces la resursele companiei, precum conturile de top management sau cele de administrator de sistem. Sunt studii care relevă că cele mai folosite parole ale administratorilor de sistem sunt ”admin” sau ”12345678”. În alte cazuri, chiar dacă parola e destul de puternică, controalele de securitate pentru prevenirea utilizării necorespunzătoare sunt adesea inadecvate. Doar 38% dintre organizații actualizează parolele de administrare o dată pe trimestru; restul o fac mai rar. Dacă profesioniștii IT nu reușesc să actualizeze și să securizeze parolele conturilor privilegiate, atacatorii le pot sparge mai ușor și pot avea acces la rețeaua organizației.

Ce se poate face: O măsură preventivă absolut necesară este alocarea statutului de cont privilegiat doar atunci când este nevoie pentru executarea unor operațiuni administrative, În restul timpului, trebuie să funcționeze aceleași restricții de acces pe care le au toate celelalte conturi din organizație. Pare complicat, dar nu e: în loc să acordați drepturi administrative mai multor conturi, alocați privilegiile în mod selectiv, pe baza nevoilor necesare pentru anumite aplicații și sarcini și numai pentru o scurtă perioadă de timp în care acestea sunt necesare. De exemplu, este bine să se stabilească conturi administrative și salariale separate pentru personalul IT; conturile de administrator ar trebui să fie utilizate numai pentru a gestiona anumite părți ale infrastructurii.

  1. Livrarea greșită a unor mesaje critice

Ce se întâmplă: potrivit unui raport Verizon, livrarea necorespunzătoare este una dintre cele mai frecvente erori umane care poate conduce la vulnerabilități și breșe de date. O cifră alarmantă: 62% dintre erorile umane din domeniul asistenței medicale sunt reprezentate de erorile de expediere. Iată și un caz real: 250 de dosare medicale ale unor pacienți cu afecțiuni pulmonare au fost expediate de un spital din Scoția pe adresa unei bănci, în loc de cea a unei clinici de specialitate.

Ce e de făcut: Măsura cea mai elementară este criptarea tuturor documentelor ce conțin date sensibile și care sunt trimise prin e-mail. În plus, se pot folosi casete pop-up prin care îi atenționați pe expeditori să verifice de două ori adresa de expediere atunci când trimit date personale cu caracter special. O măsură mai sigură, dar puțin mai costisitoare este implementarea unei soluții de prevenire a pierderilor de date (DLP) care monitorizează un eveniment care poate duce la scurgerea de informații și care acționează automat, de exemplu, împiedicând utilizatorii să trimită date sensibile în afara rețelei de compania.

Concluzii

Vestea proastă este că erorile umane pot reprezenta cam 40-50% dintre sursele de vulnerabilitate care pot conduce la apariția unor breșe de Securitate. Restul de 50-60% e reprezentat de folosirea inadecvată a resurselor tehnice și de cauzele externe. Pericolul reprezentat de cauzele cu sursă umană este real. E perfect posibil ca o companie care e super protejată tehnologic în domeniul securității cibernetice, să fie vulnerabilă prin greșelile angajaților.

Vestea bună este că, fiind de natură internă, organizația poate adopta și implementa măsurile de control cele mai adecvate pentru reducerea sau chiar eliminarea surselor de vulnerabilitate datorate erorilor umane. Cu alte cuvinte, putem avea controlul asupra a 40-50% dinte cauze. Cum putem face asta? Prin adopția, implementarea și asimilarea politicilor interne la nivel de companie, care ne pot ajuta să reducem riscurile de breșă în mod adecvat. Căci un proiect de asigurare a conformității GDPR se bazează pe triada: OAMENI – PROCESE – TEHNOLOGIE.

Conform unuia dintre cele 7 principii PIA, o companie trebuie să fie Proactivă, nu Reactivă. Adică să țină cont de riscurile potențiale înainte ca acestea să se transforme în breșe. Pentru asta, orice organizație trebuie să-și îmbunătățească capacitățile de detectare a vulnerabilităților, astfel încât să poată răspunde cu promptitudine evenimentelor suspecte sau necorespunzătoare. Cum putem face asta? Prin soluții și metode de monitorizare a comportamentului utilizatorilor care să ne permită să urmărim activitatea tuturor utilizatorilor, inclusiv a celor care beneficiază de privilegii.

Dar cel mai important factor de prevenire a erorilor umane ale angajaților este sensibilizare acestora în legătură cu propria răspundere pentru siguranța datelor personale prelucrate. Cum putem face asta? Proiectând și implementând o adevărată cultură GDPR.

 

 

CÂT SUNTEM DE MULȚUMIȚI DE FUNCȚIA DE DPO?

Știm cu toții că funcția de responsabil cu protecția datelor personale ridică o serie de probleme, atât prin importanța rolului jucat în orice organizație, dar și prin caracterul său de noutate. Cum alegem un DPO, care este fișa postului, care sunt criteriile recomandate pentru selecția candidaților, ce condiții de muncă îi oferim, ce îi punem la dispoziție, cât de mult ne bazăm pe recomandările sale? Iată o serie de întrebări simple, dar esențiale pentru buna activitate, formarea profesională și demonstrarea eficienței activității de data protection officer.

Ce au făcut francezii?

Plecând de la aceste premise și de la faptul că autoritatea de supraveghere din Franța a înregistrat deja peste 18000 de DPO, Délégation Générale à l’Emploi et à la Formation Professionnelle (DGEFP) a demarat împreună cu Agenția pentru Formare Profesională a Adulților (l’Agence pour la Formation Professionnelle des Adultes – AFPA) un studiu care vizează o mai bună înțelegere a problemelor legate de ocuparea forței de muncă și competențele legate de punerea în aplicare a GDPR. Studiul acoperă condițiile reale de exercitare a acestei noi meserii, ținând cont de particularitățile specific formei de activitate: DPO intern, DPO intern mutualizat, DPO extern sau Profesionist responsabil cu protecția datelor. Chestionarele au fost la dispoziția celor interesați până la data de 15 aprilie 2019. Această inițiativă s-a bucurat de susținerea autorității reglementare a datelor din Franța și a CNIL (Comisia Națională pentru Informatică și Libertăți) și asociația franceză corespunzătoare protecției datelor (AFCDP).

Primele rezultate ale acestui studiu puse la dispoziție de CNIL oferă deja câteva răspunsuri foarte interesante:

  • La întrebarea “Credeți că recomandările dvs. sunt ascultate și sunt urmărite în mod regulat de managerul (managerii) dvs.?” 13% din specialiștii DPO interni au răspuns în mod surprinzător “Niciodată sau niciodată”, în comparație cu numai 8% dintre profesioniștii DPO externi care au dat același răspuns.
  • La întrebarea “În contextul misiunii unui DPO, credeți că ați luat în considerare cu succes respectarea GDPR de către managerii dvs.?” 18% dintre responsabilii DPO interni recunosc faptul că încă nu au reușit, în comparație cu doar 6% dintre cei care acționează ca DPO externi.
  • La întrebarea “Sunteți mulțumit de postul dvs. de specialist în protecția datelor?” 37% dintre cei care activează ca DPO interni și 45% dintre respondenții cu rol DPO extern apreciază că sunt “destul de mulțumiți”.

Ca o primă concluzie ce reiese din studiul întreprins de autoritățile franceze este faptul că un DPO extern are mult mai multă șanse să se impună într-o organizație și să poată influența evoluția acesteia către un stadiu ideal de conformitate.

A doua concluzie este, și nu ne miră deloc asta, că cel mai important factor de rezistență în transformarea unei organizații este chiar nivelul de management. Am zis că nu mă miră, pentru că exact aceasta este și una dintre concluziile personale în urma proiectelor de implementare și ale interacțiunilor cu cei pe care i-am instruit. Citiți articolul: ”10 SFATURI PENTRU MANAGERI, NU LĂSȚI PE MÂINE…”

Ce putem face ca să creștem procentajele eficienței activității de DPO într-o organizație?

În primul rând totul depinde de cel care asigură această funcție, fie că este angajat ”cu fișa postului”, supervizer GDPR pentru mai multe organizații, consultant DPO extern sau simplu responsabil cu adopția GDPR într-o companie. Un DPO trebuie să ia foarte în serios misiunea sa și să-și asigure în primul rând sprijinul din partea structurii de conducere. Orice efort de implementare GDPR este în primul rând un proiect, iar orice proiect trebuie să aibă un manager de proiect și un sponsor. Ori dacă tocmai sponsorul nu înțelege importanța alinierii la GDPR și nu susține echipa menită sa asigure acest lucru, atunci nici proiectul nu are șanse prea mari de reușită.

De aceea, crearea unei culturi GDPR într-o organizație trebuie să aibă în vedere, pe lângă asigurarea liantului în triada: legislație-organizare-tehnologie (L-O-T), sensibilizarea structurilor manageriale în susținerea eforturilor întregii organizații. Căci un proiect GDPR este bazat pe OAMENI – PROCESE – TEHNOLOGIE.

Ce vă propunem pentru a realiza o radiografie a nivelului de eficiență DPO în România?

Toți cei care activează ca DPO (intern, extern sau doar cu rolul de responsabil GDPR) sunt rugați să contribuie la realizarea unei EVALUĂRI A GRADULUI DE SATIFACȚIE DPO ÎN ROMÂNIA.

Pentru a participa la această EVALUARE sunteți rugați să completați Formularele de mai jos, menționând:

I. Cele mai importante 5 motive de satisfacție în activitatea GDPR în care sunteți implicați

II. Cele mai importante 5 motive de insatisfacție (la nivel de organizație)

III. Care sunt cele mai importante lucruri (intern și extern) de care aveți nevoie pentru eficientizarea activității dvs? (minim 2 recomandări)

Rezultatele acestei EVALUĂRI vor fi prezentate în cadrul Conferinței GDPR Talks din data de 21 Mai care are ca temă analiza fenomenului GDPR în România la un an de la intrarea în vigoare a GDPR. Toți cei care completează formularul vor primi Rezultatele acestei Evaluări.

Pentru Agenda și înscriere la conferință

APĂSAȚI AICI

Nu uitați să completați Formularul! Răspunsurile dvs. vor fi anonimizate. Adresa de e-mail este necesară doar în scopuri de comunicare.

 

Nota Confidentialitate: Datele Dvs. personale incluse in acest formular vor fi prelucrate doar in scopul pentru care au fost solicitate. Analiza răspunsurilor dvs. pentru Evaluare se face prin anonimizare. Citiți Politica de Confidentialitate.

5 SFATURI PENTRU MANAGERI LA NUMIREA UNUI DPO

Ofițerul responsabil cu protecția datelor personale este un personaj al cărui profil ideal este încă destul de controversat. Deși condițiile numirii unui DPO, sarcinile și competențele acestuia sunt stipulate destul de clar în Articolele 37 – 39 din Regulament, importanța strategică a acestei poziții face ca subiectul să fie în centrul atenției în toate discuțiile și recomandările legate de GDPR.

Dincolo de toate necunoscutele care nu apar în ghiduri și clarificări și speculațiile venite dinspre piață, după un an de la intrarea în vigoare a GDPR putem veni cu niște certitudini. Avem destulă informație ca să putem trage niște concluzii.

În primul rând un DPO joacă un rol fundamental în asigurarea respectului pentru cerințele legislației de protecție a datelor personale. DPO este special angajat de organizația pe care o reprezintă pentru consiliere la aplicarea regulilor, dar are în celași timp și rolul de a coordona obținerea conformității pe plan intern.

1. AVEM NEVOIE SAU NU DE DPO ?

Aici lucrurile s-au mai clarificat, se discută mult despre asta, există recomandări, s-au scris o sumedenie de articole, în fine, există algoritme, GDPR ne spune clar care sunt condițiile obligatorii, dar cu toate astea mulți decidenți nu sunt siguri încă dacă DA sau NU…

Cum facem totuși să fim siguri? E foarte simplu: există 4 situații obligatorii și una facultativă, în care se recomandă numirea unui DPO:

  • dacă prelucrarea este desfășurată de o autoritate publică sau de un organism public (GDPR, Art. 37, 1, a)
  • dacă activitățile principale ale operatorului sau procesatorului constau în prelucrări care prevăd monitorizarea regulată și sistematică pe scară largă (GDPR, Art. 37, 1, b)
  • dacă activitățile principale ale operatorului sau procesatorului constau în prelucrare pe scară largă a unor categorii speciale de date (GDPR, Art. 37, 1, c)
  • orice organizație care prelucrează un număr de identificare național (inclusiv prin colectarea sau dezvăluirea documentelor ce îl conţin) și are ca singur temei legal legitimul interes, trebuie să ofere o serie de garanții, printre care și numirea unui DPO (Legea 190/ 2018, Art.4, 2, b).
  • orice organizație care apreciază că prin natura activității sale execute o prelucrare sistematică a unor volume mari de date sau datele prelucrate au un grad ridicat de senzitivitate poate decide să își numească un DPO (Recomandare WP29, Ghid DPO)

Nu mai insist aici asupra ambiguității unor termini precum ”pe scară largă”, ”volume mari de date”  sau ”monitorizare regulată și sistematică. Am comentat în articolele anterioare. Din experiența practică, cuantificarea acestor termini trebuie făcută ”la bun simț”, în funcție de propriile criterii privitoare la numărul de persoane afectate de prelucrare, volumul de date, tipurile de date, durata, sau extinderea geografică a activităților de prelucrare.

2. CÂND NUMIM UN DPO?

Practicile GDPR vin cu o sumedenie de recomandări, în funcție de sferele de influență ale diferitelor Autorități de supraveghere. Există ghiduri care ne îndeamnă ca numirea DPO să fie făcută încă de la începutul coagulării unui plan de proiect pentru implementare, în timp ce alții ne sfătuiesc să stabilim mai întâi echipa de proiect și să ne apucăm de treaba, în timp ce numirea DPO – dacă este cazul – să fie făcută pe parcurs în funcție de abilitățile manageriale ale celor participanți la proiect.

Personal, înclin pentru a doua alternativă, bazându-mă pe următoarele considerente:

  • numirea unui DPO poate fi un proces anevoios, de durată și nu ne permitem să pierdem timp și să stăm cu mâinile la piept, în așteptarea unui super-erou…
  • cu și fără DPO, esențial este rolul echipei de proiect care trebuie să includă reprezentanți ai tuturor departamentelor implicate în prelucrarea de date personale
  • oricare dintre membrii acestei echipe poate fi numit DPO după demararea proiectului și acumularea de expertiză, cu condiția să nu existe o situație clară de conflict de interese
  • toți membrii acestei echipe trebuie să fie conștienți de importanța participării lor și trebuie să își însușească cunoștințele de bază ale unui DPO, fie prin participarea la un instructaj de 2-3 zile din puzderia de oferte de pe piață, fie prin instruirea ”in situ”, împreună cu ceilalți colegi
  • odată stabilit rolul de DPO, acesta trebuie să preia tot ce s-a făcut până la numirea sa și trebuie să parcurgă la rândul sau un curs de instruire
  • durata și nivelul de dificultate al acestui curs depind de interesele și posibilitățile operatorului, care trebuie să înțeleagă ca la numirea unui DPO nu este obligatorie prezența unei diplome de certificare, ci a unui CV din care să reiasă o experiență practică de sute de ore de proiect…

3. ÎN LIPSA CERTIFICĂRII, CE CRITERII FOLOSIM LA ALEGEREA DPO?

GDPR ne spune că Responsabilul cu protecția datelor trebuie să aibă calitățile tehnice și cunoștințele profesionale adecvate recunoscute de legislația privind protecția datelor. Cum spuneam, în prezent, nu există o cerință expresă de certificare. Cu toate acestea, deținerea unor certificări tehnice sau specializări care să faciliteze asigurarea cerințelor de conformitate cu GDPR pot constitui criterii de eficiență la stabilirea DPO.

Sfatul meu: să nu uităm că o diplomă este cu adevărat utilă doar atunci când specializarea academică sau profesională e însoțită de o expertiză pratică pe măsură în proiecte concrete, controlabile prin referințe.

4. CE CALITĂȚI PROFESIONALE TREBUIE SĂ AIBĂ UN DPO?

Potrivit Art. 37, responsabilul cu protecția datelor este desemnat pe baza calităților profesionale și, în special, a cunoștințelor privind legislația și practicile privind protecția datelor și capacitatea de a îndeplini sarcinile menționate la Art. 39.

Cu alte cuvinte, un specialist în legislație cu experiență practică în protecția datelor și capacitatea de a îndeplini un set de sarcini cu care foarte puțini au fost familiarizați până acum… Câte personaje care pot corespunde acestui profil există în realitate și, mai ales, sunt dispuse să îți asume sarcina de DPO?

Ceea ce nu reiese cu claritate din GDPR și toate ghidurile aferente, dar este un factor determinant în alegerea DPO  este importanța experienței operaționale. Un DPO este în primul rând un manager de proiect, un specialist care are abilitatea de a manevra pârghiile manageriale, de a cunoaște procesele de business ale organizației și de a identifica cât mai corect circuitul fluxului de date și de a analiza integritatea acestora în fiecare dintre nodurile unui astfel de flux…

5. CE ABILITĂȚI PERSONALE TREBUIE SĂ DOVEDEASCĂ UN DPO?

Prin definiție un DPO este o personalitate enciclopedică, polivalentă. Trebuie să cunoască legislație, economie, să aibă business-ul în sânge, să știe să lucreze cu oamenii, să știe regulamente și politici, să nu se lase intimidat și să aibă putere de influență asupra managementului, să știe să discute cu partenerii și mai ales să identifice vulnerabilitățile din sistem care pot atrage riscuri majore pentru prelucrarea datelor personale.

Să analizăm pe scurt care sunt calitățile pe care trebuie să le dovedească un DPO în funcție de sarcinile minime stabilite prin Art. 39:

  • informarea și consilierea organizației și angajaților cu privire la obligațiile de a respecta GDPR și alte legi privind protecția datelor: pentru asta DPO trebuie să știe legislație și să aiba abilități de comunicare și consultanță
  • monitorizarea respectării GDPR și a altor legi privind protecția datelor, inclusiv gestionarea activităților interne de protecție a datelor: cunoștințe legislație și protecția datelor, abilități de control, monitorizare, procedurare, audit, raportare
  • consilierea activităților organizației ce au legătură cu evaluările de impact privind protecția datelor: cunoștințe project management, analiza riscurilor, analiza de impact, abilități manageriale, surse de risc, identificare, analiză și elaborare a planului de risc
  • instruirea periodică a personalului și efectuarea de audituri interne: experiență trainer și auditor, abilități de analiză, sinteză, dicție, aplicare procedure, concluzii și rapoarte
  • primul punct de contact pentru autoritățile de supraveghere și pentru persoanele fizice ale căror date sunt prelucrate (angajați, clienți etc.când este cazul): experiență de comunicare, abilități dialog, reprezentare.

Dar poate cel mai important aspect al acestor atribuții este legat de faptul că, în îndeplinirea sarcinilor de DPO, trebuie să se ţină seama, în mod corespunzător (zice legea), dar cu maximă responsabilitate (zic cele mai bune practici) de riscul asociat operaţiunilor de prelucrare. Și aici trebuie să avem în vedere atât natura și domeniul de aplicare, cât și contextul şi scopurile prelucrării.

Rezumând, un DPO ar trebui să reunească o lungă listă de abilități personale la care trebuie să adăugăm: integritate, etică, inițiativă, organizare, perseverență, discreție, stapânire de sine, control, autoanaliză, interes, motivare, negociere, convingere, comunicare, sinteză, analiză, raportare, colaborare, control stare conflict, și mai ales abilitatea de a construi relații de muncă pe termen lung… Unde îl găsim pe omul ăsta?

Mai puteți citi pe această temă:

https://gdprreadyinitiative.com/2018/11/08/gdpr-explicitat-11-un-personaj-important-data-protection-officer-dpo/

https://gdprreadyinitiative.com/2018/10/30/cum-pot-obtine-certificarea-dpo-in-romania/

https://gdprreadyinitiative.com/2018/11/08/analiza-gdpr-1-cum-pot-deveni-dpo-in-romania/

https://gdprreadyinitiative.com/2018/10/30/avem-un-dpo-cum-il-certificam/

 

 

GDPR READY WEEKLY NEWS – No 8, March 2019

News, articles, legislation and analysis, all about data protection and cybersecurity technologies

EDPB: Interplay between the ePrivacy and the GDPR European Data Protection Board released Opinion 5/2019

Annual Report: 2018 was a busy year for the EDPS – First annual report of European Data Protection Supervisor

Overview: Nine months after GDPR entry – EDPB Releases Overview on the Implementation and Enforcement of the GDPR

Cookies: Dutch DPO released guidance for free access to webpages content unconditioned by cookies acceptance – Websites must remain accessible when refusing to track cookies

Research: 85% of organisations suffered phishing and social engineering attacks last year – according to an Accenture cybercrime study.

 

Infographic of the week – Secure by Design Infographic available in Press Quality for download: https://lnkd.in/dVW5sp8  

EDPB Opinion 5/ 2019

The interplay between the ePrivacy and the

In December 2018, the Belgian Data Protection Authority requested the European Data Protection Board to examine and issue an Opinion on the interplay between the GDPR and the ePrivacy Directive, in particular regarding the competence, tasks and powers of data protection authorities.

EDPB considers that these questions concern a matter of the general application of the GDPR, as there is a clear need for a consistent interpretation among data protection authorities on the boundaries of their competences, tasks and powers.

Clarification is particularly needed to ensure, amongst others, a consistent practice of mutual assistance in accordance with article 61 of the GDPR and joint operations in accordance with article 62 of the GDPR.

YOU CAN DOWNLOAD FROM HERE THE EDPB OPINION 5/ 2019  

EDPS Annual Report

First annual report of the European Data Protection Supervisor

2018 was a busy year for the EDPS and a pivotal year for data protection in general. Under new data protection rules, the rights of every individual living in the EU are now better protected than ever, the European Data Protection Supervisor (EDPS) said today, as he presented his 2018 Annual Report to the European Parliament’s Committee on Civil Liberties, Justice and Home Affairs (LIBE).

Giovanni Buttarelli, EDPS, said: Data protection hit the headlines in 2018. Public awareness about the value of online privacy is at an all-time high, while concern about the abuse of personal data by online service providers remains a topic of enquiry for governments around the world. In the EU, new rules on data protection go a long way towards addressing concerns, but more is required. Agreement on a new ePrivacy Regulation is urgent, but in the digital world, we also need to look beyond rules and regulations. Through initiatives focused on digital ethics and greater regulatory cooperation, the EDPS is determined to play a decisive part in shaping the digital future in the EU and further afield.

The 2018 Annual Report provides an insight into all EDPS activities in 2018. Chief among these were our efforts to prepare for the new legislation. The General Data Protection Regulation (GDPR) became fully applicable across the EU on 25 May 2018 and new data protection rules for the EU institutions are also now in place. Working with the new European Data Protection Board (EDPB), the EDPS aims to ensure consistent protection of individuals’ rights, wherever they live in the EU. Key figures for 2018:

  • 30 training sessions provided for EU institutions and bodies
  • 90 prior check Opinions issued (80% relating to EU administrative procedures)
  • 5 inspections
  • 3 visits to EU institutions
  • 11 Opinions issued on legislative proposals
  • 13 Formal Comments issued on legislative proposals

READ HERE THE FULL PRESS RELEASE  

EDPB Overview

Nine months after GDPR entry

On February 26, 2019, the European Data Protection Board (the “EDPB”) presented its first overview of the GDPR’s implementation and the roles and means of the national supervisory authorities to the European Parliament (the “Overview”).

Nine months after the entry into application of the GDPR, the members of the EDPB are of the opinion that”the GDPR cooperation and consistency mechanism works quite well in practice. The national supervisory authorities make daily efforts to facilitate this cooperation, which implies numerous exchanges (written and oral) between them. These cooperation duties lead to extra workloads, additional time dealing with cases and have an impact on the budget of the regulators.”

Cooperation Mechanism – The GDPR requires close cooperation between SAs of EEA (EU-28 + Iceland, Norway and Liechtenstein) in cases implying a cross-border component and supports this by using the following tools: ¾ the mutual assistance, ¾ the joint operation, ¾ the One-Stop-Shop cooperation mechanism, which introduces the obligatory intervention of a Lead Supervisory Authority for the cross-border cases. Here are a few statistics outlined on Hunton Privacy Blog (www.huntonprivacyblog.com ):

  • 642 procedures have been initiated to identify the lead DPA and concerned DPAs in cross-border cases. 306 of these procedures have concluded with the lead supervisory authority identified.
  • 30 different DPAs have registered a total of 281 cases with cross-border components in the Internal Market Information system– an IT system that provides a method of information sharing among supervisory authorities. The main topics of these cases relate to the exercise of individual rights, consumer rights and data breaches.
  • 45 one-stop-shop procedures were initiated by DPAs from 14 different EEA countries — 23 cases are currently at the informal consultation stage, 16 are at the draft decision stage and 6 cases have been finalized.
  • 444 mutual assistance requests, both formal and informal, have been triggered by DPAs from 18 different EEA countries.

Consistency Mechanism – One of the main tasks of the EDPB is to ensure the consistent application of the GDPR. One opportunity to ensure consistency is to provide general guidance on the interpretation of the GDPR, which will contribute to a common understanding and application of the provisions by the stakeholders, the supervisory authorities and the public in general. Since 25 May 2018, the EDPB has endorsed 16 guidelines prepared by the Article 29 Working Party (predecessor of the EDPB) and has adopted 5 additional guidelines. Another opportunity is to adopt consistency opinions and decisions. These decisions mainly address the national supervisory authorities and ensure a consistent application and enforcement of the GDPR.

  • The EDPB has adopted 28 consistency opinions regarding the national lists of processing subject to a data protection impact assessment.
  • The EDPB also has adopted a consistency opinion on a draft administrative arrangement for the transfer of personal data between financial supervisory authorities.
  • The EDPB is currently working on further consistency opinions and procedures relating to the interplay between the GDPR and the ePrivacy Directive, binding corporate rules and a draft standard contract between data controllers and data processors.

Budget and Human Resources

  • 23 DPAs reported an increase in their regulatory budgets for 2018-2019.
  • Three DPAs reported no increase in budget while two DPAs reported a decrease.
  • With respect to human resources, 17 DPAs reported an increase in headcount for 2018-2019, while eight reported no change and one DPA reported a decrease in personnel.

Implementation and Enforcement of the GDPR at National Level

  • The total number of cases reported by DPAs from 31 EEA countries totalled 206,326 with 94,622 of these comprising complaints and 64,684 initiated on the basis of data breach notification by controllers.
  • 52% of the above cases have concluded while 1% are being challenged before national courts.
  • DPAs from 11 EEA countries reported imposing administrative fines under the GDPR totalling €55,955,871.
  • The Overview concludes by noting that members of the EDPB view the GDPR as working well in practice and that the workload of DPAs is manageable due to thorough preparation for the GDPR over the past two years.

SOURCE:  

Cookies

Dutch DPO released guidance for free access to webpages content unconditioned by cookies acceptance

One of the most important legal basis processing personal data under GDPR is the consent — which should be specific, informed and freely given in order for it to be valid under the law. Many websites are conditioning web pages browsing by implicit accept of Cookies policy, what is representing a serious lack of compliance with GDPR consent rules.

After receiving dozens of complaints from internet users who had had their access to websites blocked after refusing to accept tracking cookies, the Dutch data protection agency released a few days ago a Guidance related to this issue.

According to this guidance website that only give visitors access to their site if they agree to place so-called ‘tracking cookies’ or other similar ways of monitoring and recording behaviour through software or other digital methods, do not comply with the General Data Protection Regulation.

“The digital tracking and recording of Internet surfing behaviour via tracking software or other digital methods are one of the largest processing of personal data because virtually everyone is active on the internet. To protect privacy, it is therefore important that parties request permission from website visitors “, says Aleid Wolfsen, chairman of the Dutch DPA. “In this way, people can deliberately and appropriately use their right to the protection of personal data. If a website is asked for permission for tracking cookies and if it is not possible to access the website or service if they refuse access to the website or service, people under pressure will receive their personal data and that is unlawful. “

With so-called ‘cookie walls’ on websites (no permission means no access), the permission is not given freely, because website visitors do not get access to the website without giving permission. On the basis of the GDPR permission is not ‘free’ if someone has no real or free choice. Or if the person can not refuse giving permission without adverse consequences. With the announcement of this explanation of the standard, the organizations involved are instructed to adjust their practice where necessary. The DPA sent a letter to the organizations to which it received the most complaints with the standard explanation, announcing also that it will intensify the audit in the coming period to see whether the standard is applied correctly in the interest of protecting privacy.

“Cookie walls are non-compliant with the principles of consent of the GDPR. Which means that any party with a cookie wall on their website has to be compliant ASAP, whether or not we will check that in a couple of months, which we certainly will do.” stated a Dutch DPA member. According to a TechCrunch article named ”Cookie walls don’t comply with GDPR, says Dutch DPA”, even the cookie wall on the official European Internet organization site looks like a textbook example of what not to do — given the online ad industry association is bundling multiple cookie uses (site-functional cookies; site-analytical cookies; and third-party advertising cookies) under a single “I AGREE” option. 

The website does not offer visitors any opt-outs at all. If the user does not click “I  AGREE” they cannot gain access to the IAB’s website. So there’s no free choice here. You have to agree with imposed cookies or leave. The main problem here is a clear contradiction between GDPR consent spirit and former rules covered by the ePrivacy Directive from 2002, which is be expected to be released also as ePR EU Regulation. According to the Recital 25 from ePrivacy Directive: “Access to specific website content may still be made conditional on the well-informed acceptance of a cookie or similar device if it is used for a legitimate purpose.” But we don’t have to forget other GDPR consent golden rules as granularity and an opt-out option.

Many website cookies bar show a single box acceptance for all cookies categories, and the big majority didn’t offer an opt-out check-box alternative or simple button to close cookies windows… More clear explanations about this could be found on one of the official EU websites.  Here, on the EU Commission EU Internet Handbook, we can find an explanation about Cookies policy in Europe.

According to the site, „EUROPA websites must follow the Commission’s guidelines on privacy and data protection and inform users that cookies are not being used to gather information unnecessarily. The ePrivacy directive – more specifically Article 5(3) – requires prior informed consent for storage or for access to information stored on a user’s terminal equipment. In other words, you must ask users if they agree to most cookies and similar technologies (e.g. web beacons, Flash cookies, etc.) before the site starts to use them. For consent to be valid, it must be informed, specific, freely given and must constitute a real indication of the individual’s wishes.” Hmm. This seems to be more close to the GDPR free consent spirit. And the things become more serious reading the steps proposed for the cookies use in Europe: “The use of cookies on EUROPA is allowed under certain conditions. You should take the following steps.

  • Ask yourself whether the use of cookies is essential for a given functionality and if there is no other, non‑intrusive alternative.
  • If you think a cookie is essential, ask yourself how intrusive it is: what data does each cookie hold? Is it linked to other information held about the user? Is its lifespan appropriate to its purpose? What type of cookie is it? Is it a first or a third‑party setting the cookie? Who controls the data?
  • Evaluate for each cookie if informed consent is required or not:
  • first‑party session cookies DO NOT require informed consent.
  • first‑party persistent cookies DO require informed consent. Use only when strictly necessary. The expiry period must not exceed one year.
  • all third‑party session and persistent cookies require informed consent. These cookies should not be used on EUROPA sites, as the data collected may be transferred beyond the EU’s legal jurisdiction.
  • Before storing cookies, gain consent from the users (if required) by implementing the Cookie Consent Kit in all the pages of any website using cookies that require informed consent.
  • Inform users about the use of cookies in a plain, jargon‑free language in a dedicated “cookie notice” page linked from the service toolbar of the standard templates. This page should explain:
  • why cookies are being used, (to remember users’ actions, identify users, collect traffic information, etc.)
  • if the cookies are essential for the website or a given functionality to work or if they aim to enhance the performance of the website
  • the types of cookies used (e.g. session or permanent, first or third‑party)
  • who controls/accesses the cookie‑related information (website or third‑party)
  • that the cookie will not be used for any purpose other than the one stated
  • how users can withdraw consent

If the issues are not very clear yet, we have an example on the same website: a webpage capture with a three-point legend:

  • 1)    The cookie header banner displayed on all pages of a site using cookies that require informed consent.
  • 2)    A link to the specific cookie notice page is also available.
  • 3)    This element of the page will only display its content once the user chooses to accept the site’s cookies.

DPA ANNOUNCEMENT SOURCE:  

Research

85% of organisations suffered phishing and social engineering attacks last year

Last year 85% of organisations experienced phishing and social engineering attacks and 76% suffered web-based attacks, according to the Ninth Annual Cost of Cybercrime Study, published by Accenture and Ponemon Institute.

Malware and web-based attacks were the most expensive at $2.6 million and $2.3 million respectively. Accenture says these two types of a cyber attack “represented a third of all cybercrime costs globally last year”.

However, the biggest jump in costs came from malicious insiders: last year, insider attacks cost each organisation $1.6 million on average, a 15% increase in 2017. Other key findings of the research are related to:

  • the average number of security breaches in the last year grew by 11 percent from 130 to 145.
  • the average cost of cybercrime for an organization increased US$1.4 million to US$13.0 million.
  • total value at risk of $US5.2 trillion globally over the next five years.

MORE INFO ABOUT STUDY HERE  

READ HERE OTHER  ISSUES OF GDPR NEWSLETTER:

GDPR READY WEEKLY NEWS NO7 – MARCH 2019

GDPR READY WEEKLY NEWS NO6 – FEBRUARY 2019

GDPR READY WEEKLY NEWS NO5 – FEBRUARY 2019

GDPR READY WEEKLY NEWS NO4 – FEBRUARY 2019

GDPR READY WEEKLY NEWS NO3 – JANUARY 2019

GDPR READY WEEKLY NEWS NO1 – JANUARY 2019

CE S-A FĂCUT BINE ȘI CE AR MAI FI DE FĂCUT DUPĂ UN AN DE GDPR

La 1 an de la  intrarea în vigoare a GDPR, agenția Concord Communication și GDPR Ready Initiative vă invită la un eveniment dezbatere ”GDPR Talks: Cât de pregătiți suntem la un an de la intrarea în vigoare a  noului regulament?”. Evenimentul va avea loc pe data de 21 mai 2019 la hotelul Pullman din București.

Ne apropiem vertiginos de aniversarea unui an de când discutăm despre GDPR ca despre o realitate concretă, pentru mulți un coșmar, pentru alții o oportunitate… Din câte am putut constata până acum, principalul obstacol în adoptarea proceselor GDPR nu se datorează lipsei tehnologiilor și abilităților oamenilor în domeniul securității informatice. Principalul factor de frânare este lipsa angajamentului managerial de a efectua schimbări. Atitudinea este dictată de rezistența conducerii față de schimbare. Și această atitudine nu este asociată doar cu „efectul tsunami” al GDPR. Este reacția de rezistență la orice tehnologie perturbatoare.

Mai 2018 a fost punctul de plecare pentru noile reguli care se aplica pentru protecția datelor personale. Toate organizațiile – companii, instituțiile de stat, asociații si fundații – care prelucrează date personale au adoptat noi proceduri, au investit in echipamente de securitate, in cursuri, au angajat DPO, toate pentru a fi conforme cu GDPR .

Ce am învățat din practică în această perioadă? Ce nu s-a făcut prea bine? Ce ar mai fi de făcut? Și în special, care sunt noile provocări cu care ne confruntăm? Cum se poate verifica conformitatea?  Sunt doar câteva dintre cele mai importante întrebări la care împreună cu invitații la eveniment vom încerca să găsim cele mai bune răspunsuri.

Panelurile de discuții pe care le-am gândit pentru acest eveniment vor avea ca invitați în calitate de speaker reprezentanți ai autorităților publice, asociațiilor patronale, avocați, consultanți, furnizori de soluții de securitate cibernetica sau alte servicii în domeniul tehnologiei digitale.

Împreună cu acești experții și cu participanții vor încerca să dezbatem problemele de care ne-am lovit în eforturile legate de adoptarea cerințelor de conformitate GDPR. Participanții la eveniment vor putea adresa întrebări pe tot parcursul conferinței, dar le pot transmite organizatorilor și în avans, în momentul înscrierii.

Înregistrați-vă la conferință și veți avea ocazia de a comunica direct si de a construi relații de afaceri cu oamenii care lucrează in acest domeniu. Veți putea discuta aspecte practice si mai ales, ce ar mai fi de făcut pentru conformitatea  cu legislația în domeniu, dar și cu cele mai bune practice de implementare. Veți putea aborda subiecte mai puțin discutate, pe care cursurile și alte conferințe poate nu le-au abordat.

Pe site-ul oficial al evenimentului de la adresa:  https://concordcom.ro/gdpr2019/ veți putea găsi o Agendă actualizată și deja vă puteți înregistra.

Aveți un interes special pentru GDPR? Vreți să știți ce s-a făcut bine anul ăsta și ce nu? Aveți întrebări la care nu a știut nimeni să vă răspundă? Veniți la eveniment și veți putea discuta cu cei care știu…

Nu uitați să vă marcați data în calendar și să vă înregistrați!

AICI GĂSIȚI FORULARUL DE ÎNREGISTRARE

Despre Concord Communication

Specializata in organizarea de evenimente B2B – o importanta componenta in cadrul relațiilor publice, Concord Communication a organizat pentru prima data in România evenimente private pe tema GDPR.  Pe parcursul anului 2017,  a organizat trei astfel de evenimente in cadrul cărora a dezbătut noile prevederi ale Regulamentului General de Protecție a Datelor Personale.

Gasiti in linkul de mai jos  fotografii si alte detalii despre evenimentele anterioare pe tema GDPR (derulati in jos pentru a vedea cele trei evenimente organizate de noi)

https://concordcom.ro/evenimente-trecute/protectia-datelor-personale/

Despre GDPR Ready

GDPR Ready!  este o platformă deschisă de know-how pentru toți cei preocupați de asigurarea conformității cu Regulamentul UE 679/ 2016. Pentru operatorii de date personale alinierea la cerințele GDPR presupune un proces complex, ce începe cu maparea datelor, înțelegerea fluxurilor de informații și scanarea proceselor de business. Prin GDPR Ready! aveți acces la resursele esențiale pentru înțelegerea implicațiilor noului Regulament, evaluarea acțiunilor care se impun la nivel de organizație și punerea lor în practică in cele mai bune condiții.