GDPR

Auzim de multe ori că diverse persoane acuză legiuitorul despre faptul că a inventat o legislație menită doar să îngreuneze activitatea operatorilor. Totodată se spune că unele prevederi sunt exagerate și neaplicabile în societatea românească.

Cu toate acestea, trebuie să ne amintim următorul lucru: 60-70% din prevederile GDPR sunt regăsite într-o directivă anterioară (Directiva 95/46/CE) din 1995, iar legislația de punere în aplicare în România a fost Legea 677/2001. Dacă ne uităm mai departe în istorie, vedem prevederi care apără viața privată și datele cu caracter personal chiar înainte de anii 90. Astfel, analizând lucrurile vedem că GDPR-ul este o Evoluție și nu o Revoluție! GDPR-ul este o evoluție firească a legislației europene în acest domeniu și nu atât un lucru care ne creionează un nou mod de viață prin protecția datelor.

Din interacțiunile  avute cu diverși cursanți de-ai noștri, colaboratori sau alte persoane vizate, am putut vedea o serie de întrebări din care reieșea înțelegerea că GDPR-ul oprește / interzice prelucrarea datelor ca regulă. De multe ori am auzit întrebări de tipul: pot să le trimit newsletter dacă am consimțământul obținut în 2017? Pot să prelucrez CV-ul în procesul de recrutare sau am nevoie de un consimțământ pentru asta? Trebuie să șterg toată baza de date de emailuri acum că se aplică GDPR-ul? Toate aceste întrebări își au un singur răspuns: GDPR-ul nu interzice prelucrarea datelor ci reglementează un cadru în care prelucrările să fie efectuate în conformitate cu niște principii de protecție a vieții private a persoanei.

Astfel, da, trebuie să fim foarte atenți în identificarea corectă a temeiurilor legale în baza cărora ne desfășurăm activitatea, însă să nu pornim cu gândul că prelucrarea este interzisă din start.

O tehnică adoptată de mulți operatori este următoarea: „să avem ceva, știm noi cum e cu protecția datelor”. Adică caută să cumpere un kit cu formulare pe care le semnează și consideră că sunt asigurați. Ei bine, din amenzile aplicate de ANSPDCP vedem că lucrurile nu stau deloc așa. Un kit de documente crează doar falsa impresie de siguranță pe când riscurile reale rămân, vulnerabilitățile rămân și posibilitatea amenzii rămâne.

Conformarea la GDPR presupune un proces asumat din partea conducerii, care implică mai mulți factori: resurse umane, juridic, IT, administrativ etc. coordonați, acolo unde este cazul de un Responsabil cu Protecția Datelor. Astfel, aproape fiecare latură a activității operatorului va fi avută în vedere spre analiză și monitorizare constantă.

Lucru care a caracterizat în mod aparte 2018 și o parte din 2019, trimiterea la un curs de perfecționare cu gândul că „gata, am obținut diploma, sunt conform” s-a dovedit ulterior a nu fi o metodă foarte eficientă. Vă amintiți cu siguranță fiecare dintre dumneavoastră valul de oferte de cursuri GDPR existente în trecut, însă care ne lăsau cu la fel de multe întrebări sau mai periculos, uneori cu înțelegeri greșite asupra regulamentului.

Sunt cursurile obligatorii? Da, este foarte important ca Responsabilul cu Protecția Datelor, persoana cu atribuții în acest domeniu sau chiar factori din managementul companiei să urmeze cursuri, pregătirea fiind un element cheie.

Este un curs suficient? Niciodată, chiar dacă este un curs de lungă durată, de 188 ore, cu multă practică. Uneori este nevoie de expertiză din mai multe domenii pentru a gestiona o situație: spre exemplu o breșă de securitate IT pe o platformă de plăți, care afectează drepturile persoanei vizate care efectuează atât confidențialitatea cât și plățile în sine. Avem 72 ore termen de raportare. Ce facem? Avem o mulțime de factori implicați: IT, protecția datelor, juridic, financiar. Cum gestionăm lucrurile? Ei bine, pentru a face față unei astfel de situații cu succes avem nevoie de cursuri specializate pentru tot personalul operatorului, sau de o echipă cu expertiză care te poate ajuta.

Adevărul este următorul: pentru conformarea la GDPR este nevoie de suport managerial și alocarea de resurse umane și materiale.

Mulți operatori au căutat să obțină consimțământul persoanei vizate pentru orice prelucrare: ex. consimțământ pentru a face viramentele salariale angajatului; consimțământ pentru oferirea de servicii medicale; consimțământ pentru ducerea la îndeplinirea a anumitor obligații legale. În acest sens lucrurile nefiind clare, se amestecă. Dacă și când avem nevoie de consimțământ și mai ales, dacă l-am obținut, înseamnă că suntem asigurați împotriva oricărei probleme?

GDPR-ul prevede șase temeiuri legale: obligație legală, încheierea / executarea unui contract, consimțământ, interes vital, interes public și interes legitim. Nu este scopul acestui articol să dezvoltăm fiecare dintre acestea, însă, pentru a sublinia ideea, este clar că atunci când există o lege care ne obligă să prelucrăm anumite date, le vom prelucra în virtutea obligației legale și NU avem nevoie de un consimțământ suplimentar pentru aceasta. La fel se întâmplă și cu alte temeiuri legale enumerate mai sus. Doar prin excepție, pentru cazuri de marketing, publicitate și alte situații asemănătoare vom solicita consimțământul.

Uneori am văzut situații în care managementul au pus în cârca IT-ului soluționarea problematicii protecției datelor: „protecția datelor, securitatea informațiilor? ISO 27001? Același lucru, mai adăugăm niște consimțăminte și am rezolvat conformitatea”. O astfel de situație este cum nu se poate mai adevărată, în primul rând pentru că este vorba de cunoașterea și înțelegerea unei legislații, oferirea de puncte de vedere și răspunsuri cererilor persoanelor vizate ș.a. Mai apoi pentru că IT-ul are deja mult de muncă și conformarea impune alocarea de timp.

Este util să fie implicat IT-ul în procesul de conformare? Da, categoric, mai mult decât util este aproape obligatoriu deoarece multe din aspectele recomandate de GDPR au o latură tehnică de aplicare, cunoscută în detaliu doar de personalul cu pregătire IT.

Este suficient ca personalul IT să „facă ceva” pentru conformare și ne scăpăm de griji? În nici un caz: spre ex. un operator instituție publică își numește șeful de serviciu de la IT, Responsabil cu Protecția Datelor. Acesta face un curs și încearcă să conformeze activitatea. Va fi obligat să înceapă analiza chiar cu propria sa numire, dacă s-a făcut în condiții de legalitate, să facă notificarea la ANSPDCP, să realizeze evidența prelucrărilor de date (cartografierea datelor), să urmărească clauzele și garanțiile contractuale, să întocmească politici și proceduri, să realizeze evaluări de impact, să ofere puncte de vedere și sprijin în oferirea de răspuns pentru cererile de drept de acces, să gestioneze incidentele la confidențialitatea și securitatea datelor și să facă instruirea personalului..  pentru început. După cum putem înțelege, soluția stă în altă parte.

Articol adaptat dupa Website-ul de consultanta GDPR Complet

Majoritatea companiilor și instituțiilor publice folosesc astăzi WhatsApp-ul în desfășurarea activităților profesionale, acesta devenind cel mai eficient instrument de comunicații electronice de tip chat!

Astfel un grup WhatsApp poate conține numele, prenumele, numărul de telefon, fotografii și multe alte informații personale. Iar operatorii folosesc de regulă mai multe grupuri în funcție de echipele de lucru create, relațiile de prietenie legate între angajații operatorului, sau angajatii altor operatori cu care se afla relatii de munca.

Toate acestea însă ridică probleme cu privire la protecția datelor cu caracter personal și viața privată.

Vedem tot mai des:

• sancțiuni aplicate WhatsApp-ului, de sute de milioane de euro, de către diverse autorități de supraveghere din Europa (ex. Autoritatea din Spania, autoritatea din Irlanda etc);
• procese pe rol și dezbateri cu privire la WhatsApp

Astfel ne putem întreba: este în regulă să folosim acest canal de comunicare în relațiile de muncă?

În următoarele rânduri ne propunem să dăm răspuns la această întrebare:

Premisa de la care suntem nevoiți să plecăm este că WhatsApp-ul deține la acest moment monopolul în domeniul comunicațiilor electronice de tip chat, realitatea vieții impunând folosirea acestuia din raționamente de eficiență – avem telefonul  mereu deschis, internetul pornit și WhatsApp-ul ne informează de îndată despre orice mesaj și notificare primită. Deoarece îl folosim foarte mult în relația cu familia, prietenii și apropiații, căutăm adesea să verificăm mesajele, fiind mereu conectați. Astfel, devine un instrument foarte util în relațiile de muncă, spre deosebire de alte canale (ex. emailul profesional care poate fi accesat doar de la lucru, de pe anumite calculatoare, uneori neputând să răspundem în timp real – pe moment unei provocări).

Chiar dacă sunt ridicate probleme pe diverse capitole cum ar fi: securitatea, confidențialitatea, transparența datelor și transferul acestora, WhatsApp-ul nu încetează să fie cel mai folosit instrument de acest tip.

În acest context rolul GDPR-ului este de a oferi un cadru pentru desfășurarea relațiilor menționate mai sus într-un mod care prezintă un nivel ridicat de protecție a datelor cu caracter personal iar prin amenzile aplicate de către autoritățile de supraveghere, Regulamentul forțează Operatorul (Facebook) să conformeze aceste activități. Nu ne propunem să dezbatem aspectele sancționate sau sancționabile ale acestei rețele ci să vedem cum și în ce fel ne putem folosi de aceasta într-un mod care respectă cât mai mult prevederile GDPR.

Înainte însă ar trebui să răspundem la câteva întrebări:

• Număr de telefon
• Nume, prenume (dacă se trece)
• ID-ul dispozitivului
• ID-ul userului
• Date referitoare la reclame
• Locație
• Adresă de email
• Contacte
• Date referitoare la plăți
• Date referitoare la erori
• Date referitoare la performanță
• Fotografie
• Alte date de conținut – de exemplu:
  • Date medicale
  • Fotografii cu alte persoane vizate
  • Videoclipuri – filmări etc.

WhatsApp-ul ne informează că este folosită o tehnologie de securizare – criptare end-to-end. În acest fel, ne asigură că discuțiile noastre vor rămâne confidențiale chiar și pentru aceștia, Facebook și WhatsApp.

Doar în anumite cazuri speciale în care există o autorizare specifică pot fi verificate conversațiile, pentru a preîntâmpina probleme precum: amenințări, violențe, abuzuri, terorism etc.

Cu toate acestea, WhatsApp se consideră Persoană Împuternicită față de utilizator, pasând responsabilitatea acestuia în ceea ce privește modul și felul în care rețeaua este folosită. Astfel compania care folosește spre exemplu grupuri de WhatsApp va stabili care este scopul pentru care acestea sunt folosite și în ce fel.

Conform Propublica care citează spusele lui Zuckerberg, în mărturie la Senatul SUA în 2018, „Nu vedem niciun conținut în WhatsApp”.

WhatsApp subliniază acest punct atât de consecvent, încât un steag cu o asigurare similară apare automat pe ecran înainte ca utilizatorii să trimită mesaje: „Nimeni din afara acestui chat, nici măcar WhatsApp, nu le poate citi sau asculta.”

Având în vedere aceste asigurări cuprinzătoare, s-ar putea să fiți surprinși să aflați că WhatsApp are peste 1.000 de lucrători contractuali care au acces doar la un subset de mesaje WhatsApp – cele semnalate de utilizatori și redirecționate automat către companie ca fiind posibil abuzive. Revizuirea este un element al unei operațiuni mai largi de monitorizare în cadrul căreia compania revizuiește și materialul care nu este criptat, inclusiv date despre expeditor și contul acestora.

În mod evident, nu este, existând multe semne de întrebare așa cum am menționat la început: referitor la confidențialitatea datelor, la securitatea acestora, la transfer și transparență etc.

Întotdeauna este de preferat o soluție internă – folosirea de companie în mod clasic, contactarea telefonică, crearea de grupuri de discuții de tip chat intern și de ce nu contactul personal cu angajații companiei.

Cu toate acestea este soluția cel mai adesea aleasă datorită modului rapid în care orice fel de informație poate să ajungă de la un utilizator la altul sau la un întreg grup de persoane. În domenii precum cel medical sau în fabrici în procesele de producție, intervenția rapidă în anumite situații poate salva vieți sau poate reduce enorm pagubele produse de o defecțiune.

Întrucât există o responsabilitate mare în utilizarea acestui canal, este bine să se răspundă la următoarele întrebări:

• Ce date sunt prelucrate?
• Care este scopul folosirii acestor date?
• Cine are acces la date și de ce ?
• Detalii referitoare la părțile terțe care pot avea acces la date?
• Cât timp vor fi păstrate datele de pe grupul de WhatsApp?

În funcție de natura și specificul companiei sau instituției în care lucrați, procesul acesta poate să fie mai laborios sau nu.

În calitate de administrator al companiei sau director de departament poți iniția redactarea unei proceduri pentru utilizarea grupurilor de WhatsApp în cadrul companiei / instituției în care lucrezi.

Această procedură ar trebui să cuprindă detalii la:

• Dispozitivele pe care vor putea fi folosite grupurile de lucru: ex. aceste grupuri pot fi folosite doar pe dispozitivele puse la dispoziție de companie;
• Felul în care se adaugă membrii într-un grup: recomandarea noastră este ca invitarea participanților în grupurile de WhatsApp să se realizeze prin distribuirea unui link de invitație din partea administratorului grupului (aici găsiți pașii în concret referitor la crearea grupurilor și invitațiile în grup). În acest fel, ne asigurăm că nu forțăm angajatul să lucreze prin această rețea, și îi oferim și o alternativă.
• Discuțiile care pot fi inițiate: ex. se va stabili cine are drept de postare – ex. există varianta ca doar administartorul grupului să posteze pe grup, în acest fel limitând orice fel de problematici specifice cu privire la divulgarea eronată a unor date cu caracter personal. Totodată se poate menționa că se vor avea în vedere strict discuții organizatorice / strict anunțuri. De asemenea, putem preciza că nu se vor posta fotografii cu documente ci acestea vor fi trimise prin email, pe WhatsApp doar vom anunța că am trimis etc.
• Rolul ocupat de către fiecare membru: se va stabili cine este admnistratorul grupului, cine este moderator al acestuia, cine poate șterge postările care nu corespund direcției stabilite de companie etc;
• Perioada pentru care se vor păstra datele: ex. toate documentele mai vechi de 30 de zile se vor șterge;
• Condițiile de utilizare a grupului și care sunt aspectele care vor atrage eliminarea din grup;
• Alte aspecte relevante.

Este deosebit de important ca încă de la momentul angajării unui nou coleg, dacă se utilizează grupuri de WhatsApp, acesta ar trebui să fie informat cu privire la acesta: fie că este vorba despre o notă de informare specifică, de luare la cunoștință printr-un alt act de tipul ROI, fie prin aducerea la cunoștință a politicii de confidențialitate pe care am actualizat-o cu privire la lucrul prin grupuri de WhatsApp.

Una peste alta, este important să avem o informare prealabilă bine făcută, astfel încât persoana vizată să aibă așteptări rezonabile cu privire la această prelucrare.

Aspectul care diminuează riscurile cel mai mult este instruirea persoanelor cu privire la folosirea acestor grupuri. Această instruire ar trebui făcută pentru toți noii angajați pe de o parte, iar pe de altă parte, periodic să le readucem aminte colegilor cum și în ce fel putem folosi această rețea.

Securitatea datelor este o responsabilitate a operatorului (companie, instituție publică de cele mai multe ori). Astfel, recomandarea noastră este să se aibă în vedere:

• Securizarea rețelelor WIFI folosite;
• Securizarea dispozitivelor – folosirea de parole ;
• Efectuarea de teste de vulnerabilitate.

Toate acestea te pot scăpa de o amendă!

În orice situație recomandăm să se ofere o alternativă! De ce? Deoarece s-ar putea să avem de a face cu angajați care vor refuza utilizarea grupului sau nu o găsesc eficientă și să își exercite un drept de opoziție la această prelucrare.

O alternativă poate fi utilizarea emailului ori rețelelor de comunicații interne ale companiei.

Dacă în activitatea dumneavoastră se dorește să se adopte WhatsApp ca un canal de contact și de comunicare, puteți avea în vedere că activitatea dumneavoastră are un nivel mai ridicat de protecție a datelor cu caracter personal realizând următoarele:

• că știți ce date sunt prelucrate și care sunt acestea
• că știți ce garanții de securitate oferă rețeaua și ce probleme specifice poate ridica
• că ați asumat acest lucru printr-o procedură
• că ați făcut informarea persoanelor vizate
• că ați realizat instruirea personalului
• că oferiți o alternativă!

Articol – adaptat dupa website-ul de GDPR Complet