Incepand din 25 mai 2018, multe organizaţii vor fi obligate să-şi angajeze un responsabil cu Protecţia Datelor, odată cu intrarea în vigoare a Regulamentului European privind Protecţia datelor cu caracter Personal (GDPR).
GDPR se aplică oricărei organizaţii care operează în cadrul UE, precum şi oricărei organizaţii din afara UE care oferă bunuri sau servicii clienţilor sau întreprinderilor din UE. Specialiştii susţin că aproape fiecare corporaţie majoră din lume va trebui să fie pregătită la intrarea în vigoare a GDPR. Scopul GDRP este de a simplifica mediul de reglementare pentru afaceri, astfel încât cetăţenii şi întreprinderile să poată beneficia pe deplin de economia digitală. Există două tipuri diferite de operatori de prelucrare a datelor: procesatori şi operatori.
Printre entităţile cu obligaţia de a avea un DPO se numără: autorităţile sau instituţiile publice, respectiv instanţele de judecată (trebuie să-şi creeze propriile mecanisme de supraveghere pentru prelucrările efectuate în exerciţiul funcţiei lor jurisdicţionale); organizaţia/întreprinderea/persoana juridică/entitatea care, în calitatea de operator sau persoană împuternicită de operator, realizează ca activitate principală operaţiuni de prelucrare care, prin natura, domeniul de aplicare şi/sau scopurile lor, necesită o monitorizare periodică şi sistematică a persoanelor vizate pe scară largă; organizaţia/întreprinderea/persoana juridică/entitatea care, în calitate de operator sau persoană împuternicită de operator, prelucrează, în derularea activităţii principale, pe scară largă categorii speciale de date sau date cu caracter personal privind condamnări penale şi infracţiuni.
Data Protection Officer (DPO) sau Responsabilul cu Protecţia Datelor este o persoană care deţine cunoştinţe de specialitate în materie de legislaţie şi practici privind protecţia datelor, care are rolul de a asigura asistenţa operatorului sau persoanei împuternicite de operator pentru monitorizarea conformităţii, la nivel intern, cu dispoziţiile Regulamentului (UE) 2016/679.
La desemnarea DPO trebuie avute în vedere următoarele condiţii: calităţile profesionale ale persoanei desemnate, cunoştinţele de specialitate în dreptul şi practicile din domeniul protecţiei datelor şi capacitatea de a îndeplini sarcinile prevăzute de Regulamentul (UE) 2016/679.
Responsabilul cu Protecţia Datelor pare a fi mai degrabă un fel de avocatul clientului decât o simplă persoană de contact folosită în prezent de cei care sunt deja autorizaţi ca operatori de date. Această persoană trebuie să aibă cunoştinţe de specialitate pe zona de protecţie de date şi poate fi un membru al echipei sau poate să-şi desfăşoare activitatea în baza unui contract de prestări servicii (art.37-6), însă trebuie implicat în mod corespunzător şi în timp util în toate aspectele legate de protecţia datelor şi nu poate fi demis sau sancţionat de către operator pentru îndeplinirea sarcinilor sale.
Conform textului Regulamentului UE, în cazul prelucrărilor de date care pot presupune un risc ridicat pentru viaţa privată a persoanelor, operatorul trebuie să efectueze un studiu de impact asupra vieţii private: “Rezultatul unui astfel de studiu îi va permite să identifice riscuri specifice şi să adopte măsuri care să împiedice apariţia/producerea acestor situaţii. Prelucrarea categoriilor de «date sensibile» poate presupune, de cele mai multe ori, apariţia unor riscuri specifice referitoare la viaţa privată a persoanelor”. În funcţie de riscurile identificate, operatorul de date îşi va stabili şi măsuri tehnice şi organizatorice (proceduri interne) pentru a preveni producerea acestora.
Prin aplicarea GDPR, sunt garantate unele drepturi noi, printre care se numără şi dreptul de a fi uitat (poate fi cerută ştergerea datelor dacă acestea sunt prelucrate ilegal, fără consimţământ sau dacă datele nu mai sunt necesare scopului în care au fost prelucrate iniţial).
Două noi principii esenţiale pentru operatorii de date sunt “privacy by design” şi “privacy by default”. În cazul primului principiu, dezvoltatorii de aplicaţii trebuie să se asigure, încă din stadiul dezvoltării, că aplicaţia lor va respecta regulile şi principiile stabilite de Regulament. În cel de-al doilea caz, furnizorii de aplicaţii care prelucrează date personale trebuie să se asigure că setările iniţiale le vor permite utilizatorilor să îşi menţină controlul asupra vieţii lor private/asupra a ceea ce postează sau împărtăşesc cu alţi utilizatori.
GDPR stabileşte obligaţia operatorului de a demonstra obţinerea consimţământului persoanei pentru prelucrările de date personale. În cazul în care datele sunt prelucrate în mai multe scopuri, este important ca operatorul de date să poată demonstra că a obţinut acordul persoanei pentru a-i prelucra datele în toate acele scopuri. Persoana vizată are dreptul să îşi retragă în orice moment consimţământul, în situaţia în care acesta constituie temei de prelucrare a datelor.
Regulamentul va fi aplicabil şi companiilor aflate în afara Uniunii Europene, în măsura în care prelucrarea de date efectuată presupune monitorizare a comportamentului persoanelor aflate pe teritoriul UE.
Pentru operatorii de date care îşi desfăşoară activităţile în mai multe state membre UE, autoritatea de supraveghere competentă este cea din statul membru în care operatorul respectiv îşi are stabilit sediul principal. Pentru transferul datelor în afara Uniunii, Regulamentul introduce instrumente noi, pe lângă cele consacrate deja.
Nerespectarea prevederilor GDPR poate avea drept rezultat o amendă de la 10 milioane de euro la 20 de milioane de euro, respectiv între 2% şi 4% din cifra de afaceri anuală globală a companiei vizate. Amenzile vor depinde de severitatea încălcării regulamentului şi dacă se consideră că firma a luat în serios măsurile necesare pentru asigurarea securităţii datelor.
Fiecare stat membru poate prevedea norme prin care să se stabilească dacă şi în ce măsură pot fi impuse amenzi autorităţilor publice.
Toate detaliile pe:
