CELE MAI IMPORTANTE GREȘELI CARE SE FAC ÎN PROIECTELE GDPR

A fost o săptămână bogată în evenimente, întâlniri și multe dialoguri, prilejuite de aniversarea unui an de la ”celebrul 25 mai”. Un lucru de toată lauda, ținând cont de acalmia care încearcă să ne descurajeze, în special de prin ianuarie încoace…Iată dar o foarte bună ocazie pentru o recapitulare, la rece, a celor mai frecvente greșeli discutate la evenimentul GDPR Talks din 21 mai sau observate prin proiecte.

Desigur, vorbele din bătrâni ”a greși, e omenește” și  ”numai cine muncește, greșește” sunt perfect adevărate și în cazul nostru, iar o greșeală sesizată nu trebuie arătată cu degetul, căci nimeni nu are de câștigat. Observăm și arătăm cu luciditate greșelile doar cu bunul scop de a le explica și de a oferi soluții pentru demonstrarea responsabilității. Chiar dacă Autoritatea din România nu a apăsat încă pe claxonul amenzilor, emițând doar avertismente și măsuri corective, trebuie să depășim sindromul drobului de sare și să învățăm din greșeli devenind proactivi. Numai așa putem să respectăm cel de-al șaptelea principiu GDPR (așa cum consideră unii) și să devenim responsabili de responsabilitatea noastră.

Iată deci, fără a respecta o anumită ordine, câteva dintre cele mai importante greșeli din care trebuie să învățăm:

Lipsa unui plan de proiect – decizia de ”a face ceva pentru GDPR” s-a făcut de cele mai multe ori sub presiune, pasând responsabilitatea cuiva de la IT sau de la juridic, care s-au apucat de ce credeau că e mai urgent.. Desigur, orice poate conduce o echipă de acțiune, dar fără un proiect de implementare etapizat e greu să vezi capătul drumului și să eficientizezi demersurile de aliniere.

Nu s-a făcut nimic până la numirea unui DPO – asta a întârziat destul de multe ori lucrurile, pierzându-se timp prețios pentru demararea unor măsuri organizatorice, care putea fi luate și în absența unui DPO, acolo unde numirea acestuia e obligatorie.

Dificultăți legate de angajarea unui DPO – multă vreme, cei care aveau nevoie să angajeze un DPO, s-u confruntat cu probleme legate de lipsa unei fișe a postului oficială sau imposibilitatea înregistrării în aplicația Revisal a codului COR 242231 alocat pentru funcția de Responsabil cu protecția datelor cu caracter personal. Deși mulți m-au asigurat că această problemă a fost rezolvată, nu am găsit încă nici o sursă publică oficială de confirmare a acestui lucru.

Înțelegerea incorectă a noțiunii de date personale – definițiile din Art.4, preambulurile și ghidurile WP29 nu au rezolvat problema identificării corecte a datelor personale. Sunt multe site-uri care la Politica de Cookies declară că acestea nu folosesc datele personale. În mod sigur administratorii acestora nu au aflat că IP-ul este luat în considerare ca și data personal, s-au pur și simplu nu și-au bătut capul să își actualizeze politicile…

Dificultatea stabilirii rolului de Operator sau Procesator (Împuternicit…) – simpla analiză a faptului că o organizație determină scopul și mijloacele nu este suficientă pentru asumarea unui rol de Operator. Se fac încă multe confuzii între poziția de Procesator și cea de Operator Asociat sau Operator Independent (B2B). Se omite ideea, că aceeași organizație poate juca roluri diferite în prelucrarea datelor personale, în funcție de procesul de business care este analizat. Dar, așa cum aprecia și Cătălin Giulescu în discuțiile din cadrul evenimentului GDPR Talks: ”nu trebuie să ne cramponăm de asta. Dacă un împuternicit își asumă rol de operator, lăsați-l să și-l asume. În fond, un operator are mult mai multe obligații…”

Excesul de Consimțământ – se pune mult prea mult accentul pe obținerea acordului, în detrimentul celorlalte 5 temeiuri legale care pot justifica prelucrarea datelor personale. Poți evita nevoia obținerii consimțământului prin introducerea unei prevederi suplimentare într-un contract. Mai mult de atât, nu se ține cont de cerința ca un consimțământ să poată fi întotdeauna probat, dovedit, în ideea că el poate fi retras cu aceeași ușurință cu care a fost obținut.

Lipsa de transparență online – Multe dintre organizațiile care au un site web nu dau dovadă de transparență prin nepublicarea unei Politici de confidențialitate sau Notificări de prelucrare a datelor personale. Prezența unei pagini cu politica de Confidențialitate a organizației este o declarație publică de conformitate și o etichetă e încredere pentru modul în car se prelucrează datele cu caracter personal.

Neactualizarea conținutului  – Există îngrijorător de multe dintre site-urile care publică o Politică de Confidențialitate nu și-au actualizat conținutul, făcând referire la Legea 677/ 2001 sau afișând în continuare Numărul de înregistrare ca Operator Național de date personale. Acest lucru poate fi o reflectare a faptului că organizația căreia îi aparține site-ul nu a depus destule eforturi de asigurare a alinierii, omițând să actualizeze singurul conținut vizibil, menit să ateste public conformitatea și asumarea responsabilității pentru datele personale prelucrate.

Carențe ale paginilor de Internet – o mulțime de site-uri publice nu au o pagină de Termeni și Condiții, care să stabilească niște reguli de accesare și navigare online, deși asta nu este o cerință GDPR, ci o regulă de conduită pentru toate organizațiile prezente Internet.

Lipsa barei de cookies – Există multe site-uri care, deși au o pagină dedicată politicii de cookies, nu au o bară de cookies care să solicite acceptarea utilizării acestora înainte de începerea navigării pe site.

Acceptarea inutilă a Politicii de confidențialitate – Sunt multe site-uri care utilizează formulare online de colectare a datelor personale (înscrieri newsletter, pagina de contact, descărcări de documente, etc) și condiționează trimiterea acestor date de bifarea unei casete de acceptare a Politicii de confidențialitate. De ce să solicităm această aprobare? Este Politica mea ca Operator și este publică. Cel mult pot să fac o trimitere de informare a faptului că datele personale colectate prin intermediul formularului sunt procesate doar pentru scopul pentru care au fost colectate, conform Politicii de confidențialitate.

Lipsa de granularitate în solicitarea acordului – există un exces de utilizare a Interesului Legitim, ca bază legală pentru prelucrările de marketing, care în plus implică și terții, fără o abordare granulară a tipurilor de activități care se înscriu în această categorie de activități de procesare.

Abuzul de granularitate – se afișează pagini pop-up granulare, cu posibilitatea stabilirii de opțiuni, dar care apar cu casete de acceptare pre-bifate – o contradicție gravă a regulilor de solicitare/ obținere a consimțământului în spiritual GDPR.

Consimțământ condiționat fără posibilitate de opt-aut – marea majoritate a barelor de cookies oferă doar opțiunea de OK, cu condiționarea navigării în continuare de alegerea acestei opțiuni. Așa cum am subliniat și la prezentarea din cadrul GDPR Talks, nu tot ceea ce vechea lege ePrivacy permite, este acceptabil din punct de vedere GDPR, unde consimțământul de utilizare de cookies nu trebuie să fie condiționat de accesul la conținutul paginii. Desigur că utilizatorul trebuie să știe care sunt consecințele neacceptării de cookies, dar asta trebuie să fie opțiunea lui liber consimțită. Mai mult de atât, GDPR ne învață că un consimțământ obținut printr-un anumit procedeu, trebuie să poată fi retras la fel de simplu. Adică dacă pun pe bara de cookies o casetă de Accept, e absolut recomandabil să ofer și posibilitate de opt-out, prin afișarea unei casete de Reject.

Protecție vs. Securitate – există un grad ridicat de confuzie între securitatea datelor și protecția datelor personale. Protecția datelor implică ansamblul măsurilor ce pot fi luate pentru a le restabili în caz de pierdere sau de corupție. În timp ce securitatea datelor se referă la mecanismul de păstrare a datelor în siguranță, de la accesul și distribuirea neautorizate. Securitatea datelor protejează datele de accesul neautorizat care ar putea duce la corupția sau ștergerea datelor, În cazul în care strategia de securitate a datelor nu reușește, protecția datelor facilitează recuperarea copiilor de date curate.

Incidente vs. Breșe de securitate – În același timp, există confuzia între incidente de Securitate și breșe (sau încălcări ale datelor). Un incident poate fi orice eveniment care încalcă politicile de securitate sau de confidențialitate ale unei organizații și poate fi orice, de la o defectarea unei unități de memorie, la pierderea unui laptop ce conține baze de date personale. O încălcare a datelor, pe de altă parte, este un eveniment care a condus la o pierdere sau un furt de date, gravitatea pierderii fiind cuantificată de volumul și importanța datelor afectate. Prin Art.33 GDPR obligă organizațiile să raporteze o încălcare a datelor în maxim 72 de ore de la conștientizarea breșei, recomandând elaborarea unui plan de breșe și organizarea unei echipe de răspuns la încălcarea datelor. Una dintre îndatoririle acestei echipe este să țină o evidență strictă a incidentelor de Securitate, în ideea de a putea asocia ulterior apariția unei breșe de vulnerabilitatea sistemului care a condus la apariția ei.

Pot fi rezolvate toate aceste probleme? Cu siguranță că da, cu condiția ca toți cei implicați să își înțeleagă și să își asume responsabilitatea. Succesul unui proiect GDPR pe termen lung se bazează pe crearea unei culturi la nivel de organizație, în care oamenii se gândesc în primul rând la modul în care ar dori ca informațiile lor personale să fie procesate. Companiile trebuie să adopte această atitudine atunci când manipulează datele personale ale clienților, ale angajaților și ale altor subiecți. Nu este vorba doar despre amenințarea cu sancțiuni financiare. Este vorba de continuitate în business și de construirea unei atitudini de încredere.

Advertisements

CONSTRUIREA CULTURII GDPR ȘI REGÂNDIREA STRATEGIEI DE SECURITATE CIBERNETICĂ SUNT PILONII DE BAZĂ AI CONFORMITĂȚII GDPR

Iată un interviu publicat de revista Market Watch în primul număr din acest an. Cu ocazia ”Zilei protecției datelor” aniversată în întreaga Europă pe data de 28 ianuarie, am avut plăcerea să răspund la câteva întrebări legate de realitățile adopției GDPR după 7 luni de la intrarea în vigoare. Cum ne apropiem vertiginos de momentul ”1 an de GDPR”, iar lucrurile nu s-au schimbat prea mult de la sfârșitul lui ianuarie, redau mai jos discuția cu Mona Muscă.

La 7 luni de la data de 25 mai 2018, când legislația europeană în domeniu a devenit mai strictă, care este statusul în privința conformității cu GDPR al companiilor din România?
Privind din perspectivă regională, România nu oferă un statut special, diferit față de alte țări ale UE. Trebuie să ținem cont, bineînțeles, de specificul local legat de statutul economic și peisajul juridic, însă entitățile de afaceri din România se confruntă cu aceleași provocări cheie precum orice altă țară a UE. Ceea ce este important pentru orice verificator în privința datelor cu caracter personal este înțelegerea faptului că problematica GDPR nu ar trebui tratată ca o calamitate. Efectuând eforturi coordonate pentru a se alinia la standardele de conformitate coordonate de principiile GDPR, orice organizație ar trebui să adopte schimbările necesare în procesele de afaceri ca un motor al transformării afacerii. Și din această perspectivă apare drama. Potrivit cercetărilor mele și a unei interacțiuni permanente cu realitățile pieței, principalul obstacol în adoptarea proceselor GDPR nu se datorează lipsei tehnologiilor și abilităților oamenilor în domeniul securității informatice. Principalul factor de frânare este lipsa angajamentului managerial de a efectua schimbări. Atitudinea este dictată de rezistența conducerii față de schimbare. Și această atitudine nu este asociată doar cu „efectul tsunami” al GDPR. Este reacția de rezistență la orice tehnologie perturbatoare/disruptivă.

Confidențialitatea, integritatea și disponibilitatea datelor sunt principalele motoare ale politicilor de securitate a datelor. Credeți că se aplică după experiența din 2018?
Privind la unul dintre cele mai importante obiective ale noului Regulament al UE, conformitatea cu GDPR ar trebui să merite în primul rând din punct de vedere al drepturilor fundamentale de libertate ale oricărui cetățean al UE și sub aspectul consolidării încrederii în viața privată a datelor. Trebuie să învățăm cum să avem respect față de datele noastre, cum să le protejăm, pentru ca aceste date să ne confere libertate de mișcare în cea mai mare siguranță. Aceasta este una dintre paradigmele GDPR. Cealaltă este construirea unei culturi a datelor cu caracter personal. Un proiect de adoptare GDPR nu este o implementare IT simplă sau o actualizare a conținutului contractual pentru a se potrivi noului cadru legal. Un proiect de adoptare a GDPR ar trebui în primul rând să creeze baza pentru implementarea culturii GDPR. La fel ca în industria securității cibernetice (cybersecurity), nu am avut o soluție 100% sigură. Orice zid tehnologic nou a fost făcut să fie spart … În aceeași filozofie este practic imposibil să te consideri 100% conform GDPR. Dar pentru a te apropia mai mult de acest ideal, trebuie să construiești o cultură GDPR. Și pentru asta avem nevoie de timp. Trebuie să creăm o cultură de încredere, de confidențialitate în organizația noastră. Trebuie să educăm angajații cu privire la importanța și impactul protejării clienților, a angajaților și a informațiilor partenerilor, precum și în privința înțelegerii rolului cheie pe care îl joacă oricine, prin menținerea siguranței.

Înțeleg că înainte de orice trebuie să construim încredere …
Cam despre asta e vorba. Iar printre principalii driveri în construirea încredererii într-o cultură GDPR fiabilă sunt:
• Dacă colectați, protejați.
• Respectați măsurile de securitate rezonabile pentru a păstra informațiile personale ale persoanelor fizice în siguranță de la accesul necorespunzător și neautorizat.
• Fiți transparenți și etici în privința modului în care colectați, utilizați și distribuiți informații personale.
• Gândiți-vă la modul în care persoana individuală se poate aștepta ca datele sale să-i fie utilizate și la setările necesare pentru a-i proteja informațiile din start.
• Construiți încrederea făcând ceea ce spuneți că veți face.
• Comunicați clar și concis publicului politica dvs. de confidențialitate, publicați-o pe pagina dvs. web și actualizați Termenii și condițiile și Politicile cookie-urilor în acord cu spiritul GDPR.

Care este locul protecției datelor în cadrul strategiei de securitate cibernetică? Sunt conștienți managerii și angajații companiilor? Este omul factorul critic în această ecuație?
Transformarea esențială pe care o aduce GDPR-ul este legată de faptul că trebuie să reconsiderăm strategia de securitate cibernetică. Centrul datelor nu mai este protecția datelor. Avem nevoie de asigurarea ciclului de viață pentru întregul flux de date cu caracter personal. Trebuie să extindem eforturile noastre de protecție de la datele de business la întregul flux de date personale dintr-o companie, de la colectarea de date, procesarea simplă, stocarea locală, criptarea datelor, schimbul de date și instrumentele de comunicare, transferul datelor internaționale, până la arhivarea datelor și stocarea finală.
Rezumând, avem nevoie de soluții end-to-end. Iată diferența dintre conceptele foarte specifice ale evaluării impactului asupra vieții private (PIA – Privacy Impact Assessment) și conceptul mai amplu al evaluării impactului asupra protecției datelor (DPIA – Data Protection Impact Assessment).

Totul se referă la conformitate/compliance. Dar este acum o lume mai sigură?
„Conformitatea/compliance” este un termen folosit de 85 de ori în conținutul Regulamentului UE. Ce este cu adevărat conformitatea? În diferitele etape, controller-ul de date sau procesorul de date trebuie să demonstreze că desfășoară orice activitate legată de protecția datelor cu caracter personal, respectarea principiilor (articolul 5c.2), numirea unui RPD (articolul 37), alinierea la o analiză a riscurilor sau o DPIA (articolul 35), adoptarea protecției datelor prin proiectare (articolul 25), registrele activității de prelucrare (articolul 30) sau sistemul de gestionare a breșelor datelor (articolul 33, 34). Deci, practic, trebuie să dovedim această conformitate prin orice proces, politică sau procedură adoptată.

Ce schimbări a dus legislația privind protecția datelor la tendința spre cloud?

Aici este ceva chiar amuzant. Cloud computing-ul a fost perceput de la început ca o tehnologie perturbatoare. Acum trebuie să analizăm cât de disruptiv este GDPR pentru serviciile cloud. Vestea bună este că din punct de vedere al protecției datelor Cloud-ul nu este o problemă. Atâta timp cât termenii contractuali respectă principiile, avem o bază juridică pentru servicii, răspunderea este asumată în mod transparent, iar persoanele vizate sunt îndeajuns de informate cu privire la condițiile de procesare și stocare a datelor lor, totul fiind în concordanță.
În funcție de tipurile de servicii oferite, un furnizor de cloud poate fi considerat un procesor de date simplu (găzduire și hosting fără gestiune) sau un furnizor privat, public sau hibrid. Din punct de vedere al protecției datelor și al caracteristicilor de securitate, este binecunoscut faptul că un serviciu de cloud ar putea fi considerat o soluție de siguranță prin transferarea responsabilităților de protecție a datelor către furnizorul de servicii cloud.
Să ne reamintim că Alianța pentru Securitate în Cloud a stabilit acum doi ani un Cod de Conduită referitor la problemele de securitate a serviciilor cloud oferind furnizorilor din cloud o resursă foarte valoroasă pentru a demonstra conformitatea prin adoptarea acestui Cod de Conduită.

In piața românească care sunt cei mai importanți factori de risc legați de adoptarea GDPR?
Aici intrăm într-o zonă „50 grey shadows”. Debutul oricărui proiect de aliniere este organic legat de o decizie managerială. Nimic nu se poate face dacă managementul nu este convins de importanța subiectului. Dar înțelegerea importanței nu este totul. Conducerea trebuie să conducă activitățile, să înființeze o echipă, să delege o persoană responsabilă și, îndeosebi, să planifice resurse. Asta înseamnă să te implici. Orice analiză sau audit de afaceri, care reprezintă primul pas în realizarea unui proiect de asigurare a conformității, se referă la nivelul de implicare managerială. Sunt managerii direct implicați, participă la discuții sau deleagă o persoană de încredere care să se ocupe de tot?
Ce situații s-ar putea întâmpla de fapt? Toți pașii implementării până în prezent au fost, în majoritatea cazurilor, sub impulsul presiunii externe și rareori rezultatul convingerii reale a conducerii. Din păcate, există încă mulți manageri care consideră GDPR: o prostie, un exercițiu simplu birocratic, o amenințare cu sancțiuni uriașe care nu vor pune niciodată în pericol organizația noastră, o mulțime de bani aruncați, un mare bluf: niciunul dintre amici sau parteneri nu a făcut nimic pentru asta, și nu i s-a întâmplat nimic. Și lista ar putea continua mult și bine…

Aici poate fi citit articolul original ”Evoluția adopției GDPR la șapte luni de la lansare” publicat de Market Watch pe 14 februarie