Toate astea în plină pandemie, când intrarea cetățenilor străini în țară este restrictionată.

Despre fetiță tebuie știută că a suferut până la 2 ani, cât adulții într-o viața întreagă. Tatăl și mama biologică au renunțat la drepturile lor pământești la 1 lună de la naștere, ambii consumând droguri, tatăl fiind arestat în repetate rânduri având inclusiv ordin de restricție împotriva propriei familii. De la 1 o lună a fost  crescută de bunica paternă, acesta  trecută de peste 70 ani, cu probleme de sănătate, și având în grija ei un alt copil de 14 ani.

Le-am cerut un termen de 2 zile să verific în primul rând dacă sunt competentă să mă implic în poveste. A urmat o procedură administrativă și juridică de pregătire a dosarului, dar cu toate că toate lumea mă asigura de suport, inclusiv  Ambasada României din Preatoria, cei apropiați îmi spuneau să iau în considerare, că  se întâmplă astfel de cazuri și copii ajung în plasamante de la Stat.

A urmat o perioadă de 3 luni în care Africa de Sud, era în izolare, și chiar dacă în Europa restricțiile s-au mai ridicat, călătoria era imposibilă. Pe 1 octombrie s-au ridicat restricțiile din Africa de Sud, și clienta mea, în disperare și fără să spere la nici un rezultat privind fetița a plecat în Africa doar să ajute, și ignorând avertizările despre rata de criminalitate de acolo, iar între timp soțul acasă la Cluj- Napoca se îmbolnăveste de Covid.

Eram într-o seară in Covasna, și ai mei m-au încurajat să sun o prietenă, aflată la Haga, și ea mi-a reconfirmat că juridic nu este nimic de făcut, dar pot să mă duc la Ministerul de Extrene  și dacă îmi pasă de soarta copilului, să le prezint povestea ca o pledoarie, și să le arăt că în mod efectiv viața copilui este zilnic în pericol.

Audițiile la MAE, în fața a două departamente diferite au avut loc în octombrie, dar nu mă așteptam la miracol. Uneori din reacțiile de la instanță anticipăm rezultatele, dar aici în fară de compasiune, nu am citit o altă emoție și m-am simțit fără resurse la final de întâlnire.

La aproximativ o săptămână primim rezultatul și fetița de 2 ani primește permisul de călătorie esențială în România. Pentru a doua oară în 15 ani de carieră am plâns pentru un rezultat profesional.

A urmat o procedură nu tocmai ușoară, cu actele pentru viză, ulterior să informăm Ministerul de Interne, respectiv Poliția de Frontieră, fiind un caz imperativ.

Pe data de 22 decembrie 2020 au ajuns în România, și într-o zi de dumincă îmi scriu că s-au instalat. Cred că satisfacția pe care am simțit-o a fost la fel de mare precum liniștea și armonia în propria mea  familie,  un al doilea cadou de Craciun.

Consider că acești copii au o misiune specială, fetița a scăpat cu viața de nenumărate ori, și este obligația noastră dacă ne stă în putere să-i ajutăm.

În sfărșit are parte de stabilitate financiară, emoțională, securitate, și cadrul potrivit să crească alături de doi părinți, care au luptat enorm de mult s-o aibă lângă ei și când va crește și va avea anii de revoltă, poate va citi acest articol și va aprecia eforturile făcute de părinți pentru a fi adusă în Europa.

The post Amahle în România appeared first on Fulop Lawyers.

O știam de la o petrecere și cum se întâmplă că de multe ori nu știm ce se ascunde în spatele unui zâmbet. Maria mă sună în Noiembrie 2017, la câteva luni, și îmi povestește că în ciuda faptului că prima instanța i-a ordonat tatălui să readucă copilul în România, aceasta refuză, iar aceeași prima instanță le-a acordat custodie comună în condițiile în care copilul este răpit, și ea nu și-a văzut copilul fizic de peste 1 an.

În același timp câștigând și a doua oară defintiv și în Rusia, tatăl în continuare refuză predarea. Începem demersurile la Ministerul de Externe, Interpol și Procuratura, pentru refuzul de a pune în executare o hotărâre judecătorească.

După ce personal mă duc cu Maria să depunem plângerea, în Februarie 2018, procuroarea ia trei săptămâni de concediu fără să predea dosarul, iar Ministerul de Externe  anunță mama că fiul ei nu se mai află în Rusia.  De asemenea tranzacția redactată de mine pentru a fi semnată de tatăl în vederea înțelegerii cu privire la soarta copilului este rupt în două în fața Ambasadorului Italian din Rusia și Ambasadorului Român din Rusia.

După ce vedem toate eforturile duse pe apa sâmbetei particip cu Maria, la un curs de dezvoltare personală și la două zile îmi spune că pentru prima dată și a putut să doarmă în ultimii doi ani. Cât de puternică trebuie să fii ca mamă pentru a trece peste toate.

O confruntare personală între părinți are loc în luna August și în noimbrie 2018 începem apelul. La prima sesiune suntem surprinse cum partea cealaltă a angjat o casă de avocatură cu mai mulți avocați și o altă doamnă avocată cu asistenta, împotriva unei singure femei de 35 de ani.

Știam că va fi atacată pentru a fi demonstrat că nu e demnă de a-și creste copilul, și doar am rugat-o să nu reacționeze, indiferent ce aude să nu riposteze, cu toate că urechile ei au auzit cum a fost atacată propria ei mamă, bunica copilului, și alte neadevăruri tocmai să fie atins scopul și anume custodia tatălui.

În ianuarie 2019 cu o zi înainte de termen, mă sună o prietenă și în momentul în care mi-a urat succes, i-am zis nu este vorba despre mine, nu este succesul meu acolo, nu este vorba nici de părinți, ci de copil și soarta acestuia pe termen lung.

Rezultatul l-am aflat de Sfântu Valentin, pe 14 februarie 2019. Maria mă sună dimineața plângând că avem custodia definitivă și este cel mai mare cadou pe care l-a primit vreodată.

Recent am vorbit cu ea și mi-a povestit cum s-au mutat într-o altă țară, cum sunt fericiți acolo și mi-a zis că fără custodie definitvă era imposibil acest aspect.

Cel mai important însă este băiatul ei, care crește într-o nouă familie unde este armonie, înțelegere, și cu toate că la vârsta de 4-5 ani a trebuit să treacaă prin traume, care ar fi mult de dus și pentru un adult, poate după ce crește va aprecia cât a făcut mama ei, și cum a luat în piept mai multe sisteme de drept în același timp pentru a-l avea alături.

The post Răpirea lui Daniele appeared first on Fulop Lawyers.

Desigur, prețul neconformității cu GDPR nu este ceva de neglijat, nimeni nu își poate permite, dar nu am văzut un articol concentrându-se asupra perspectivelor pe care GDPR poate aduce afacerilor.

Problema concentrării pe partea punitivă a GDPR este categoric neglijarea de noi oportunități de afaceri. Adevăratul motor pentru adoptarea noilor principii de conformitate ar trebui să fie eficientizarea afacerii dvs., mai sigură și competitivă.

Haideți să ne schimbăm viziunea și să ne concentrăm asupra  beneficiilor pe care  implementarea corectă a Regulamentului poate aduce.

1. Beneficiul numărul 1.- Îmbunătățește securitatea cibernetică

Nu există companie din lume care să-și permită asumarea  riscului de ignoranță cibernetică, având în vedere costurile încălcărilor de date (atât privind  propria societate cât și eventualele daune cauzate terților) și timpul de întrerupere cauzat de furtul sau pierderea de date critice.

Confidențialitatea datelor și GDPR vă pot ajuta să stabiliți un flux de lucru conștient de securitate. Legislația impune organizațiilor să își identifice strategia de securitate și să adopte măsuri administrative și tehnice adecvate pentru a proteja datele personale ale cetățenilor UE.

Regulamentul vă încurajează să reevaluați strategia generală de securitate cibernetică, să stabiliți un control complet asupra întregii infrastructuri IT, să creați fluxuri de lucru pentru protecția datelor și să eficientizați monitorizarea securității. Regulamentul completat cu prevederile Directivei NIS, vor ajuta societățile să reducă suprafața atacului, să înțeleagă mai bine ce se întâmplă în rețeaua  informatică și să vă îmbunătățească sistemul intern pentru o folosire îndelungată și impenetrabilă.

2. Beneficiul 2. – Îmbunătățirea gestionării datelor

Evident, primul aspect pentru respectarea GDPR este să verificați toate datele pe care le aveți. Acest pas vă va permite să minimizați datele colectate și deținute, să organizați mai bine stocările și să perfecționați procesele de gestionare a datelor.

Prin curățarea datelor, veți reduce costurile pentru stocarea și procesarea acestor date și veți șterge datele sensibile, cum ar fi informațiile personale ale foștilor clienți. Astfel de date prezintă un risc ridicat și nejustificat pentru organizația dvs., așa că de ce să vă asumați responsabilitatea pentru ceva care nu are nicio valoare pentru dvs.

În al doilea rând, după ce analizați toate datele pe care le aveți, puteți implementa mecanisme pentru îndeplinirea unei alte cerințe GDPR – crearea de date și căutare globală.

Acest lucru vă va ajuta să gestionați mai ușor solicitările persoanelor fizice de a șterge datele dacă își exercită dreptul de a fi uitate. Pe de altă parte, această cerință vă va încuraja să reorganizați depozitele de date, astfel încât personalul dvs. va fi mai productiv și mai eficient în timp ce lucrează cu date precise, ușor de căutat și accesibile.

3. Beneficiul 3. – Creșterea rentabilității investiției de marketing (ROI)

Unul dintre principiile cheie ale GDPR este faptul că organizația ar trebui să implementeze o politică de înscriere și să aibă acordul persoanelor vizate pentru a prelucra datele lor personale. În combinație cu eliminarea  informațiilor irelevante care vă împiedică marketingul, cum ar fi oportunitățile pierdute sau adresele nerecuperate, veți primi o bază de date stabilă, conformată cu clienți  relevanți, care vor cu adevărat să aibă contact cu societatea dvs.

Cu aceste informații disponibile, veți putea experimenta marketingul de nișă adaptându-vă mesajul la nevoile și obiceiurile specifice ale unui public clar definit, care are mai mult interes pentru marca dvs. O astfel de abordare de marketing granulară va avea ca rezultat clicuri mai multe, rate de conversie mai bună și vizibilitate in retelele sociale și va crește profitul de marketing pe măsură ce bugetele și eforturile vor fi cheltuite cu înțelepciune.

4. Beneficiul 4. – Stimularea loialității și încrederii în audiență

Conformitatea GDPR vă poate sprijini afacerea în a vă ajuta să construiți relații de încredere cu clienții și publicul în general. Atunci când adunați consimțământe valabile pentru a utiliza datele persoanelor vizate, va trebui să explicați clar și concis cum veți folosi informațiile lor personale. Consumatorii în ultimii ani au devenit din ce în ce mai informați, și în mod automat mai neîncrezători cu privire la modul în care sunt gestionate datele lor, transparența și responsabilitatea pe care o demonstrați vor încuraja încrederea în marca dvs.

Astfel, puteți utiliza GDPR pentru a sublinia că aveți grijă de confidențialitatea clienților dvs. actuali și potențiali și de a sta cu capul și umerii deasupra concurenților.

5. Beneficiul 5. – O nouă cultură de afaceri

GDPR este un prim pas promițător către o nouă cultură de afaceri care poate deveni o normă la fel ca separarea deșeurilor alimentare și a plasticului sau reciclarea becurilor vechi prin respectarea și securizează datele tuturor persoanelor care își  încredințează informațiile lor sensibile.

Prin aderarea la GDPR, veți cultiva valorile securității datelor clienților și angajaților dvs. și veți încuraja responsabilitatea socială în afaceri. Astfel, aderați la o nouă mentalitate privind respectarea confidențialității datelor clienților.

Deși respectarea GDPR este un proces complex, pentru proprietarii de afaceri ar trebui să fie o provocare, să implementeze peste minimul cerințelor  și să adere la un proces stabil, de încredere pentru clienți, angajați și parteneri.

Acestea sunt câteva dintre avantajele pe care GDPR poate oferi organizației dvs. diferențierea competitivă de care are nevoie pentru a avea succes și o nouă cultură de afaceri care prețuiește confidențialitatea umană.

Haideți să recunoaștem, GDPR este o oportunitatea de a excela!

The post Valoarea GDPR-ului appeared first on Fulop Lawyers.

Conform  îndrumărilor, o bună implementare a politicii GDPR- presupune mai multe etape obligatorii care nu numai vă feresc de o amendă, dar demonstrează profesionalism, dau încredere în ochii colaboratorilor, clienților, partenerilor.

După criteriile  noastre acestea ar fi :

1. Efectuarea unei evaluări a prelucrării datelor cu caracter personal (DPIA). Este considerat obligatoriu înainte de efectuarea unei prelucrări sau ori de câte ori se prelucrează un alt set de date personale, decât cele inițiale. Este documentul de bază în momentul controlului efectuat de autorități, stabilește modul de prelucrare, obligativitatea sau lipsa oblighativității unui set de date personale, necesitatea unui DPO, evaluează datele care sunt puse la dispoziție Operatorului/ Persoanelor Împuternicite.
2. Conformarea politicilor interne, contractelor cu prevederile GDPR. Aici nu ne referim doar la politica de confidențialitate, de cookies și la Termenii Generali, care apar pe site, ci modificarea tutror politicilor din cadrul societății, și inclusiv al prevederilor contractuale.
3. Comunicarea clienților despre prelucrare și modul de prelucrare, și de a le obține consimțământul. Aici este greșeala cea mai des întâlnită în practică,  mulți presupun că în momentul în care se intră în contact, persoanele fizice, sau juridice reprezentate prin persoane fizice automat își dauîn mod automat  consimțământul.
4. Comunicarea drepturilor consumatorului- stabilirea persoanelor împuternicite care informează asupra drepturilor persoanlelor fizice ale căror date au fost prelucrate, aici intrând și reglementările privind consimțământul persoanelor vizate, retragerea, ștergerea datelor, etc.
5. Modificarea statusului colaboratorilor, analizarea dacă societatea, sau colaboratorii prelucrează pentru ei date cu caracter personal, și încheierea unui contract de persoană Împuternicită având la bază prevderile GDPR.
6. Dpo externalizat– un Responsabil cu Protectia Datelor Personale (DPO) pe care multe companii si organizatii sunt obligate sa îl aibă, și despre care am vorbit într-un alt articol precedent (https://fuloplawyers.com/2019/11/dpo/)
7. Securizarea bazelor de date personale – prin mai multe metode de IT- criptare, mascare, sisteme de back-up, ștergerea datelor, etc.

Ce este un DPIA?

DPIA ( Data Protection Impact Assessment ) sau EIPD ( Evaluarea Impactului protecției Datelor cu caracter personal) așa cum se înțelege chiar din titlu, este un document complex care evaluează impactului protecției datelor personale în cadrul unei companii, indiferent de statul acestuia de Operator, Persoană Împuternicită.

DPIA este o modalitate de analiză sistematică și cuprinde tot procesul societății comerciale evaluate, operațiunile de prelucrare, datele cu caracter personal prelucrate, temeiul juridic al prelucrării, necesitatea prelucrării, acordul persoanelor vizate, modul de folosire ale datelor cu caracter personal, împuterniciții, sistemul de stocare, durata stocării,
sistemul de securizare ale datelor cu caracter personal, responsabilul cu securitatea datelor cu caracter personal (DPO), prevederile contractuale existente privind GDPR, etc.

După identificarea datelor necesare în scopul evaluării, care în cadrul implementărilor pe care le-am desfășurat până în prezent, a presupus completarea unui chestionar de la 30-100 de întrebări în funcție de domeniul societății, accentul este pus pe potențialul de daune.

Daunele trebuie evaluate pentru persoanele vizate sau pentru societate în general, indiferent dacă este fizic, material sau nematerial.

Pentru a evalua nivelul de risc, DPIA trebuie să ia în considerare atât probabilitatea, cât și gravitatea oricărui impact asupra persoanelor, dacă riscurile sunt proporționale cu scopul, cum sunt atenuate riscurile, existența riscurilor reziduale, modalitatea de comunicare a acestora cu Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal  (ANSPDCP) etc.

Ce beneficii aduce companiilor?

O evaluare  eficientă, un DPIA efectuat corect, poate aduce, de asemenea, beneficii de conformitate, de finanțare și de reputație mai largă, ajutându societățile  să demonstreze  responsabilitate și să construiască încredere și implicare în relația lor cu persoanele fizice.

Un DPIA eficient poate reduce, de asemenea, costurile curente ale unui proiect, reducând la minimum cantitatea de informațiile colectate acolo și concepând procese mai simple pentru personal.

De asemenea  permite societăților o transparență asupra sistemelor pe care le folosesc, asupra personalului implicat în procesarea datelor cu caracter personal, și poate înlesni remedierea unor nereguli într-un stadiu incipient, aducând beneficii mai largi atât pentru persoane, cât și pentru organizație.

Cine efectuează DPIA?

DPIA trebuie efectuat de către Operator și experții acestuia în domeniul juridic și informatic, de către Persoanele Împuternicite pentru datele prelucrate pentru Operator, și în colaborare cu DPO.

Acesta din urmă nu are obligația de a efectua evaluarea, însă trebuie să –l implementeze și să se asigure că principiile stabilite acolo sunt respectate.

În practică, chiar dacă mulți au considerat că nu este necesar existența DPIA, în realitate fără evaluarea inițială și complexă prevăzută de DPIA, o prelucrare nu poate fi eficientă, și abia în momentul efectuării DPIA va exista o tarnsparență privind categoria de date prelucrate, obligativitatea acestora, modalitatea de prelucrare, persoanele împuternicite. etc.

Chiar dacă mulți antreprenori au avut dubii privind efectuarea unui DPIA, datorită costurilor, oricât de costisitor ar fi procesul inițial de aliniere  la prevderile GDPR, este importantă investiția  pentru a nu suporta repercusiunile unei amenzi de până la 20 de milioane de euro sau până la 4% din cifra de afaceri mondială (în funcție de care sumă este mai mare).

The post DPIA în cadrul GDPR appeared first on Fulop Lawyers.

1. Fiecare societate, care prelucrează pentru sine, trebuie să aibă un DPO dar și așa numiții „împuterniciți”care prelucrează pentru alții datele cu caracter personal

1. Operatorii

Conform Regulamentului 679/2016 privind Protecția Datelor cu Caracter Personal, sunt operatorii toate autoritățile sau organismele publice, și toate societățile private care au ca activitate principală sau prelucrează „pe scară largă” datele cu caracter personal.

Dacă este lesne de înțeles că intră în prima categorie toate instituțiile publice, în ceea ce privește domeniul privat există o înțelegere neunitară a societăților comerciale privind obligația de a angaja sau colabora cu un DPO.

În ceea ce privește activitatea principală toate băncile, spitalele, agențiile de turism, societățile care furnizează gaz, energie electrică, apă, firmele care prelucrează în mod curent datele persoanelor fizice s-au sesizat și au angajat sau au semnat colaborări instant cu un DPO.  Nu același lucru s-a întâmplat cu firmele care nu intră în prima categorie, dar prelucrează pe scară largă datele cu caracter personal.

Regulamentul neexplicând sintagma „scară largă”, interpretările au fost cât se poate de personale. Autoritatea de supraveghere a venit cu o clarificare, spunând că sunt exceptați cabinetele de avocat sau cabinetele medicale, unde datele cu caracter personal sunt la câteva sute de persoane, aceste organizații având oricum și prin statut obligația de a păstra confidențialitatea datelor personale (https://www.dataprotection.ro/?page=Responsabilul_cu_protectia_datelor).

Prin urmare,  în cazul în care o societate comercială, chiar de dimensiunea mică, cu câțiva angajați, prelucrează datele cu caracter personal al câtorva mii de persoane fizice este obligat să aibă un DPO. În această categorie intră toate societățile în domeniul produselor cosmetice, firmele de accesorii sau de îmbrăcăminte, toate firmele care prestează activități de dezvoltare personală, etc., dacă au o bază de date de mii de persoane.

1. Împuterniciții

Comitetul European pentru Protecția Datelor (CEPD-  https://edpb.europa.eu/about-edpb/about-edpb_ro ) a adoptat un ghid prin care a încercat să clarifice ce obligații au operatorii, respectiv ce obligații au persoanele împuternicite de operatori, care prelucrează datele pentru operatori.

Aceste persoane juridice, de multe ori, prestând  servicii externalizate,  chiar dacă nu prelucrează pentru ei, și per se nu ar întruni obligația de a contracta sau angaja un DPO, ei sunt obligați să urmeze linia trasată de operatori privind politica GDPR, și acest aspect este valabil și privind similitudinea în ceea ce privește rolul de DPO.

2. Persoana care poate exercita rolul de DPO

Având în vedere că Regulamentul prevede cunoașterea la nivel avansat al legislației privind protecția datelor și a legislației europene, unele societăți au mers pe regulă și au angajat juriști sau avocați în rolul de DPO ( și aici doar subliniem exemplele pozitive ale băncilor OTPhttps://www.otpbank.ro/hu, Alphabank https://www.alphabank.ro/, sau societatea comercială Krukhttps://ro.kruk.eu/clienti-cu-datorii, de care avem informația certă) alții au considerat, că o simplă lecturare, sau cunoștințe legislative sunt suficiente în a îndeplini și exercita acest rol.

Fără a subestima cunoștințele acestor persoane, care pot depăși câteodată cel al juriștilor sau avocaților, trebuie pusă întrebarea cum apără aceste persoane poziția societății privind aplicarea Regulamentului, și dacă pot consilia societatea, prin implementarea altor legislații la nivel de UE, cum este Directiva NIS, sau Regulamentul 2018/1725. Dacă răspunsul este pozitiv chiar este recomandabil colaborarea continuă, însă dacă prevederile nu sunt tocmai îndeplinite avem o situație în care societatea este pasibilă de o amendă deloc neglijabilă (care poate ajunge la câteva zeci sau sute de mii de euro sau chiar să-i fie restricționat prelucrarea).

În ceea ce privește persoana unui DPO, art. 38(3) din GDPR stabilește anumite garanții de bază pentru a se asigura că DPO este în măsură să-și îndeplinească sarcinile cu un grad suficient de autonomie în cadrul organizației.

În special, operatorii/persoanele împuternicite de operator, trebuie să se asigure că DPO „nu primește niciun fel de instrucțiuni în ceea ce privește îndeplinirea sarcinilor sale”. La considerentul 97 se adaugă faptul că DPO „indiferent dacă este sau nu angajat al operatorului, ar trebui să fie în măsură să își îndeplinească atribuțiile și sarcinile în mod independent”. De asemenea art. 38(3) impune ca DPO să nu „fie demis sau sancționat de operator sau persoana împuternicită de operator pentru îndeplinirea sarcinilor sale”.

Prevederile determină o autonomie, a DPO-ului, care trebuie păstrată pentru a îndeplini rolul de observator, în cadrul prelucrării datelor, doar în acest fel DPO-ul poate să intervină cu sfaturi permanente privind îmbunătățirea procesului prelucrării.

De asemenea , Regulamentul prevede, că nimic nu împiedică DPO-ul, să aibă și alte roluri sau funcții în cadrul societății (Art. 38(6)), având în vedere și volumul redus de activitate care trebuie efectuată lunar.

Vom analiza în cele ce urmează sarcinile expres prevăzute de Regulament al unui DPO, atât în ceea ce privește prevederile legale, cât și aplicabilitatea practică, având în vedere controalele numeroase ale autorității de supraveghere în domeniul protecției datelor cu caracter personal, ANSPCD.

3. ROLUL DPO

a). Monitorizarea respectării GDPR

Art. 39(1) b) încredințează DPO, obligația de a monitoriza respectarea GDPR-ului. În acest sens, DPO are obligația de a colecta informații pentru a identifica operațiunilor de prelucrare, de a analiza conformitatea operațiunilor prelucrare, și de a emite recomandări operatorului sau persoanei împuternicite de operator.

b). Evaluarea impactului operațiunilor de prelucrare

În ceea ce privește o evaluare a impactului operațiunilor de prelucrare („DPIA”) art. 35(1) GDPR , operatorul îl face, chiar și cu un terț, dar DPO poate avea un rol foarte important și util în asistarea operatorului. Art. 35(2) prevede în mod expres ca operatorul „să solicite avizul” DPO la realizarea DPIA. La rândul său, art. 39(1) c) prevede ca și sarcină pentru DPO „să ofere consiliere la cerere în ceea ce privește DPIA și să monitorizeze funcționarea acesteia”.

c). Cooperarea cu autoritatea de supraveghere și asumarea rolului de punct de contact

Art. 39(1)d) și c),din GDPR prevede rolul DPO, care acționează ca punct de contact între autoritate și societate, pentru a facilita accesul autorității de supraveghere la documente și informații pentru îndeplinirea atribuțiilor acestuia de exercitare a competențelor de investigarea, corectare, autorizare și consultare.

d). Abordarea bazată pe risc

Art. 39(2) din GDPR impune ca DPO „să țină seamă în mod corespunzător de riscul asociat operațiunilor de prelucrare, luând în considerare natura, domeniul de aplicare, contextul și scopurile prelucrării”.

Articolul subliniază personalizarea operațiunilor (față de abordarile generaliste ce le regăsim în kit-uri sau cursuri) cât și concentrarea efortului pentru DPO, în zonele majore de risc.

e). Rolul DPO în păstrarea evidenței

Art. 30(1) și (2) prevede obligația operatorului sau persoanei împuternicită de operator, și nu DPO, are obligația de a „păstra o evidență a operațiunilor de prelucrare desfășurate sub responsabilitatea sa” însă în practică, DPO deține un registru al operațiunilor de prelucrare pe baza informațiilor furnizate de diferitele departamente din cadrul organizației responsabile cu prelucrarea datelor cu caracter personal.

În speranța că am reușit să clarific, rolul poziției vă stau la dispoziție pentru orice întrebare privind regulamentul, aplicabilitatea acesteia, conexiunea cu directiva NIS, sau alte aspecte în conexiune cu acesta.

Contact

The post Ofițer protecția datelor (DPO) appeared first on Fulop Lawyers.

În ultima lună am primit mai multe invitații, să particip la cursuri, seminarii privind implementarea GDPR-ului. Ultimul a fost în domeniul Sănătății. Când am întrebat de ce vorbesc doar despre GDPR și nu și despre directiva NIS în același context, nu am primit răspuns.

După cum se știe, Directiva 679/2016 privind GDPR se aplică tuturor societăților, chiar dacă prelucrează doar datele angajaților, și NIS se aplică în unele domenii expres prevăzute de lege, domeniul sănătății intrând în această categorie, cu toate subdomeniile: pharma, medical, clinici private, distribuitorii de aparate medicale si toate domeniile conexe.

De asemenea celelalte domenii acoperă o mare parte din viața cotidiană comercială: energie, transporturi, operațiuni financiare (toate băncile, toate firmele de recuperări de creanțe, toate firmele mici care dau consultanță financiară, fiscală, etc.), apă potabilă, firmele care oferă servicii digitale (toate firmele de telecomunicații, firmele de IT), și nu în ultimul rând chiar daca nu intră în aceasta categorie toate firmele care utilizează servicii de cloud computing.

La nivel de implementare obiectivele Directivei NIS și Regulamentului GDPR se pot suprapune uneori, solicitând operatorilor să pună în aplicare măsuri de securitate bazate pe riscuri în cadrul acelorași documente.

Amândouă protejează interesele comerciale și personale, unul datele personale ale tuturor persoanelor fizice, cealaltă protejează securitatea rețelelor și a serviciilor IT.

Măsurile de securitate deja existente pentru GDPR nu vor fi suficiente pentru a se conforma prevederilor NIS, acestea trebuie extinse si completate, însă în cele ce urmează vom arăta cum se întrepătrund și cum se diferențiază prevederile celor două acte legislative europene:

Unele măsuri sunt comune:

• Analiza/evaluarea datelor de securitate ale societăților poate fi făcută în cadrul aceluiași document;
• Termenii si condiții, care sunt acceptate în momentul efectuării unei comenzi, aflându-se pe site-urile societăților;
• Prevederile contractuale în toate modele de contracte pe care societatea le folosește;
• Redactarea sau modificarea politicilor interne: la nivelul întregii societății sau la nivel de departamente;
• Măsurile de detectare ale incidentelor privind NIS și GDPR;
• Procedura de sesizare ale autorităților poate fi dezvoltat comun, chiar dacă sunt două autorități diferite;
• Pregătirea personalului intern în cadrul training-urilor și accesul restricționat ale personalului necalificat la datele personale;

Altele se diferențiază:

• Formularul de consimțământ trebuie să aibă toate elementele prevăzute de lege;
• Preluarea prin criptare ale datelor personale ale persoanelor fizice;
• Arhivarea datelor personale;
• Modalitatea de informare ale persoanelor fizice privind prelucrarea, scopul, posibilitate de, retragere al consimțământului, etc;
• Transferul datelor personale în afara Uniunii Europene;
• Auditul de securitate a rețelelor și sistemelor informatice (auditorul și echipamentele de intervenție sunt autorizați CERT-RO);

Toate aceste măsuri trebuie să fie evidențiate într-un dosar privind implementarea GDPR și NIS.

Rolul DPO

Rolul DPO-ului va face subiectul unui articol mai amplu, în perioada următoare. In prealabil insa mentionez că din punctul meu de vedere aceeași persoană poate îndeplini cele două roluri, de persoană de legătură cu autorități, privind respectarea prevederilor.

Persoana nu trebuie sa fie același care implementează regulamentul și directiva. Rolul unui DPO, este doar de sesizare de autorități, verificări periodice lunare, modificare de politici, asigurarea îndeplinirii prevederilor la nivelul societății.

Datele acestei persoane însă trebuie comunicate autorităților de supraveghere (ANSPCD pentru GDPR, CERT-RO pentru NIS), și aici vorbim de o expunere personală, fiind contactul autorităților cu societatea. DPO-ul poate fi si o persoana desemnată din cadrul societății, dacă are studii juridice, și îndeplinește prevederile menționate de lege.

Nu recomand, o persoană care doar a studiat legislația, a obținut un certificat la un curs, fără să aibă studii juridice. Know-how-ul este foarte mare în momentul unui control, sau în momentul în care cele două acte legislative se întrepătrund și este nevoie de o analiză legislativă, o supraveghere și o auditare corectă.

The post GDPR si NIS aplicat împreună? appeared first on Fulop Lawyers.

Mai jos va prezentam 11 situatii, dintre cele mai des intalnite:

1. Obtinerea consimtamantului este considerat suficienta

Comentariu: Consimtamantul este doar  5% din toate aspectele necesare privind   respectarea Regulamentului. Modalitatea de prelucrare, de utilizare a datelor, de arhivare, de a pune la dispozitia persoanelor a caror date se prelucreaza, modalitatea de notificare nu este acoperita doar prin formularul de consimtamant.

 2. Consimtamantul se considera obtinut implicit in momentul in care persoana fizica se identifica cu  datele personale  sau daca pentru obtinerea unei oferte/ intra in legatura directa cu o societate

Comentariu: Daca o persoana se adreseaza unei societati pentru o oferta, sau pentru a intra in legatura cu societate prin telefon sau chiar personal, in momentul identificarii nu inseamna ca este automat de acord cu prelucrarea datelor.Datele date in aceste sens nu pot fi echivalate consimtamantului.  Acesta este cea mai intalnita eroare si la societati foarte mari.

3. Exista o casuta de bifat pe site-ul oficial al societatii privind acordul asupra consimtamantului si este considerat ca societatea indeplineste prevederile GDPR

Comentariu: Consimtamantul se obtine explicit si neechivoc, forma aceasta de-si da automata cordul daca bifeaza nu indeplineste ecrintele pentru un consimtamant valid.

4. Sunt solicitate toate datele de identificare

Comentariu: Daca un client se identifica cu pasaport si nu este nevoie de datele din buletin pentru serviciul prestat, solicitarea este ilegala.

5. DPO este o persoana cu o certificare de la un curs

Comentariu: Regulamentul clar prevede ca DPO  trebuie sa aiba cunostinte de drept, si am putea spune chiar de drept international.

Motivul este ca la foarte multe societati este aplicabil Directiva NIS, unde tot DPO-ul va trebui sa raporteze autoritatii.  Daca nu are cunsotinte de drept international, nu va putea sa-l compare GDPR-ul cu alte norme de drept international si sa le aplice simultan.

6. A angaja un DPO inseamna costuri pe care societatea nu isi permite

Comentariu: exista posibilitatea sa fie externalizat DPO unei persoane care indeplineste rolul printr-un contractde prestari servici. Daca politica si actele privind GDPR sunt bine puse la punct, in afara de o revizie lunara si daca nu sunt incidente de raportat cu regularitate rolul DPO-ului nu este full time. Mai multe despre DPO chiar pe linkul autoritatii de supraveghere  https://www.dataprotection.ro/?page=Responsabilul_cu_protectia_datelor.

7. S-a prevazut in ” Termenii generali” respectarea prevederilor GDPR

Comentariu: GDPR necesita intocmirea unui intreg dosar, evaluarea datelor, criptarea, modificarea politicilor interne, forma consimtamantului, preluarea datelor, arhivarea, comunicarea prelucrarii, scopul acesteia cat si eventuala transmitere in afara Uniunii Europene.

 8. Nu exista  software prin care se cripteaza datele in momentul preluarii

Comentariu: criptarea datelor in momentul preluarii datelor cu caracter personal este obligatiorie, doar in felul acesta se poate asigura confidentialitatea atat de necesara.

9. S-a achizitionat un kit de GDPR

Comentariu: kiturile in unele cazuri costa mai mult decat implementarea in sine, si daca nu este personalizata pe nevoia societatii societatea prezinta in continuare riscul de a fi a primi amenda.

10. Lucreaza cu persoane juridice, si nu i se se aplica GDPR

Comentariu: Regulamentul privind GDPR se aplica tuturor societatilor, intr-o masura sau alta. Modalitatea de aplicare, necesitatea de DPO, sau aspecte privind implementarea este diferita.

11. Lipsa de fonduri, si prefera sa platesc amenda

 Comentariu: Amenda nu scuteste societatea de indeplinirea tuturor prevederilor. Autoritatea in fara de amenda, da o perioada pentru conformitate cu Regulementul si exista posibilitatea primirii unei noi amenzi in caz de neconformitate.

The post GDPR si implementarea ei(2) appeared first on Fulop Lawyers.

Atacurile cibernetice afectează tot mai mult serviciile de afaceri de bază, iar consecințele pot fi deosebit de grave pentru companii și publicul larg.

De exemplu, după un cyberattack, putem vorbi despre pierderi de date, dar și despre pierderi financiare semnificative din cauza întreruperii serviciului sau a clienților.

NIS, Directiva privind securitatea rețelelor și informațiilor, este prima legislație UE cuprinzătoare privind securitatea informațiilor care a creat o cultură a securității prin cerințele sale. Directiva  a fost transpusă prin legea nr. 362/2018 în România,si se aplică  începând din luna ianuarie 2019, avand ca obiect  punerea în aplicare a măsurilor tehnice și organizaționale adecvate și proporționale pentru a îndeplini anumite cerințe minime de securitate stabilite de Centrul Național de Comunicare a Incidentelor în Securitate Cibernetică (CERT-RO), autoritatea de supraveghere in acest caz.

Perioada de conformitate a fost de șase luni, ceea ce înseamnă că putem vorbi despre investigații si controale începand cu august 2019, deoarece între timp, in data de 2 iulie 2019, a intrat în vigoare și norma metodolgică, Codul de organizare și funcționare a Registrului furnizorilor de servicii esențiale (ROSE).

Scopul NIS:

• protecția infrastructurilor critice și digitale pentru a asigura funcționarea sistemelor de bază pentru societate și măsuri pentru a asigura un nivel ridicat de securitate comună, ținând cont de riscurile asociate;
• Creșterea securității cibernetice în industriile critice ale UE și obținerea unor niveluri ridicate de securitate pentru rețelele și sistemele de calculatoare pentru gestionarea incidentelor de securitate cibernetică la nivelul UE;
• protejarea cetățenilor UE împotriva riscurilor online;

Obligațiile întreprinderilor:

1. Managementul drepturilor de acces, conștientizarea și formarea utilizatorilor, testarea și evaluarea securității rețelelor și sistemelor de calculatoare sau analiza și evaluarea riscurilor. Aceasta înseamnă că, în unele cazuri, nu numai politicile interne vor trebui modificate prin contracte, ci si create politici pentru a reglementa dreptul de acces, si a proteja sistemele de IT interne.
2. Prevenirea și minimizarea incidentelor de securitate. Companiile ar trebui să ia măsurile adecvate pentru a preveni și minimiza problemele cauzate de incidentele de securitate care afectează rețelele și sistemele de calculatoare, astfel încât serviciile să rămână disponibile.
3. O obligație suplimentară pentru transportatorii, băncile sau clinicile medicale de a notifica prompt CERT-RO orice atac de cyberbullying care afectează în mod semnificativ continuitatea serviciilor esențiale.

(4) Informațiile necesare pentru a determina impactul transfrontalier al unui incident de securitate sunt transmise CERT-RO. În principiu, companiile ar trebui să furnizeze informații despre potențialul geografic al evenimentului și despre efectele transfrontaliere potențiale.

5. Activați auditurile efectuate de CERT-RO
6. Odată înregistrat în Registrul Furnizorilor de serviciilor esentiale (ROSE), companiile trebuie să se alăture serviciului de alertă și colaborare CERT-RO. Practic, companiile trebuie să monitorizeze continuu (și nu numai) alertele și solicitările primite prin intermediul serviciului pentru a lua rapid măsurile adecvate la nivelul rețelelor și sistemelor lor de informații.

Relația dintre GDPR și NIS

Spre deosebire de GDPR, NIS vizează o audiență specifică a organizațiilor publice sau private din următoarele sectoare de activitate: energie, transporturi, servicii bancare, infrastructuri ale pieței financiare, sănătate, furnizare și distribuție de apă potabilă și toate instituțiile care sunt furnizori de servicii digitale (piețe online, motoare de căutare online și cloud Servicii IT).

Pe de o parte, obiectivele INS și GDPR se pot suprapune uneori, solicitând operatorilor să pună în aplicare măsuri de securitate bazate pe riscuri și să stabilească obligații de notificare în cazul unui incident de securitate.

Pe de altă parte, GDPR își propune să protejeze datele cu caracter personal, în timp ce NIS se concentrează pe protejarea securității rețelelor și a serviciilor IT.

În multe cazuri, măsurile de securitate deja existente pentru GDPR nu vor fi suficiente pentru a se conforma prevederilor NIS.

Penalități

De exemplu, un studiu recent IBM arată că în 2018, costul mediu global al unui cyberattack pentru a compromite datele a fost de 3,86 milioane dolari.

De asemenea, pot exista pierderi financiare din cauza întreruperii serviciilor companiei.

De exemplu, din cauza criptării datelor și recuperării solicitării de răscumpărare, Serviciul Național de Sănătate din Marea Britanie a pierdut aproximativ 100 de milioane de lire sterline în 2017 din cauza serviciilor întrerupte. Un alt exemplu al aceluiași an este Maersk, care a pierdut aproximativ 200 de milioane de dolari.

În ceea ce privește pierderile corporative, există și pierderi ale clienților, un efect indirect al atacurilor cibernetice. Practic, există un risc foarte mare ca clienții companiei în cauză să decidă să solicite serviciile altor companii.

În plus, Legea nr. 362/2018 prevede, de asemenea, că CERT-RO poate impune o amendă drastică pentru nerespectarea dispozițiilor sale.

Deși pornesc de la 3.000 de lei, din cauza unor infracțiuni minore, acestea pot atinge 5% din cifra de afaceri în cazul încălcărilor grave repetate.

The post NIS – Atacurile cibernetice appeared first on Fulop Lawyers.

Implementare personalizata
Implementarea personalizata nu este o optiune, particularitățile afacerilor sunt diferite, fiecare prelucrare este diferită și trebuie adresată corespunzator. O agentie de turism prelucreaza altfel datele pentru Europa decat pentru Orientul Mijlociu, si altfel decat un spital privat sau o companie farmaceutica, nu mai vorbim de firmele de telecomunicatii, societate comerciala in domeniul resurselor umane sau banci.
In aceste cazuri categoria de date este diferita, nu avem nevoie de toate datele de identificare, prelucrarea este diferita, arhivarea de asemenea si felul in care comunica sau notifica persoanele fizice este diferita.

2). Masurile de luat pentru conformitate
Cele mai importante masuri sunt stabilirea cu specialistii, asupra tipului de date necesara fi colectate, modul de colectare, modalitatea de informare a persoanelor fizice si a face un dosar in acest sens.
a). Evaluarea impactului
Inainte de orice alt pas este necesar o evaluare a impactului prelucrarii datelor cu caracter personal asupra vieții private (“DPIA“) pentru fiecare din activitățile de prelucrare a datelor.
Mentionam ca evaluarea impactului, trebuie facut de specialisti. DPO- ul nu intocmeste aceasta evaluare, ci doar consilieaza si supravegheaza executia ei. Rolul DPO-ului aici este de a se asigura ca obtine informatiile necesare pentru realizarea DPIA.
b). Consimtamantul
Multe societati comerciale considera ca avand consimtamantul prin Termenii generali, pagina de termeni și condiții atasate serviciilor, sunt conforme cu politicile. Nimic mai departe de adevar, consimtamantul nu se obtine prin cutii pre-bifate, si nu se transforma consimțământul într-o condiție prealabilă a unui serviciu. Aici multe societati inca sunt neconforme.
Trebuie separat consimțământul pe mai multe subiecte, tinut o evidență a momentului și contextului în care un utilizator și-a dat consimțământul, asigurat că o persoană poate să își retragă simplul consimțământul în orice moment.
De asemenea trebuie inclus numele companiei care solicita și a tuturor părților care se vor baza pe consimțământ, detaliat motivul colectarii datelor personale și destinatia acesteia;

c).Masurile juridice
Cele mai importante masuri juridice sunt modificarea politicilor interne si modificarea contractelor, dupa caz :
 declarații de confidențialitate (Privacy Policy);
 formularele de consimțământ, precum și dovezile că persoanele vizate și-au dat consimțământul si temeiul juridic al prelucrării datelor;
 procedurile puse în aplicare pentru exercitarea drepturilor de protecție a datelor ale persoanelor vizate;
 contractele updatate cu clauzele privind protectia datelor cu furnizori / procesatori de date
 procedurile interne în cazul unei încălcări a datelor.
De asemenea consideram ca numirea /angajarea/ externalizarea DPO de asemenea poate fi considerata o masura juridica.

d). Masurile IT
Dupa ce s-au identificat tipurile de date prelucrate prin pregătirea unui registru al activităților de prelucrare a datelor cu caracter personal, organizațiile identifica dacă sunt transferate datele și/sau cui sunt transferate, unde sunt găzduite/stocate și pentru cât timp.
Software-ul prin care se preiau datele personale, joaca aici un rol extrem de important. Software-ul in afara de siguranta si criptarea datelor trebuie sa asigure modalitatea de acces al persoanelor fizice la datele lor.

e). Rolul DPO
Rolul unui DPO (Data Protection Officer-Responsabil cu Protectia Datelor) este dezbatut pe larg în cadrul Capitolului IV, Secțiunea 4 din Regulamentul GDPR.
Desemnarea unui responsabil cu protecția datelor reprezintă un pas necesar în procesul de conformare la noile reglementări, acesta având un rol obligatoriu în toate instituțiile fie publice, sau private, fie ele chiar și non-profit, daca intra in contact cu datele personale ale persoanelor fizice.
În practică, majoritatea entităților procesează, mai mult sau mai puțin, date cu caracter personal în interes propriu(datele angajaților, datele clienților/furnizorilor persoane fizice) sau în interesul altor companii (bănci, campani de marketing etc.), motiv pentru care este recomandat ca în cadrul oricărei entități să existe un DPO intern/extern.
Activitățile principale ale operatorului constau în monitorizare periodică a operațiunilor de prelucrare, instruirea personalului cu privire la prelucrare si cooperarea cu autoritatea de supraveghere, punctul de contact pentru autoritatea de supraveghere privind aspectele legate de prelucrare.
Responsabilul poate fi angajat intern, dar de asemenea poate indeplini sarcinile în baza unui contract de servicii.
Chiar daca Regulamentul nu mentioneaza in mod expres, ca trebuie sa aiba studii juridice, totusi este mentionat ca trebuie sa aiba „cunoștințele de specialitate în dreptul și practicile din domeniul protecției datelor”, si sa poate interpreta nu numai dreptul intern , dar si cel al Uniunii Europene.
Consideram ca un curs DPO, cateodata este insuficient, acesta invata doar particularitatile GDPR, dar cursantul, daca nu are cunostinte in dreptul international, ii va fi greu interpretarea GDPR-ului in comparatie cu alte prevederi de drept international, ex. Legislatia NIS si altele.

Beneficiile implementarii GDPR
Cu toate ca multi vad implmentarea politicii ca un aspect obligatoriu, si care ingreuneaza afacerea lor fiind inca o norma de conformitate, in realitate o certificare GDPR aduce avantaje în termeni de marketing, ajuta la construirea unei imagini credibile. Simplul fapt de a avea bine pusă la punct securitatea datelor ajuta la loializarea cliențiilor și îi transforma în promotori ai brandului.

The post GDPR si implementarea ei appeared first on Fulop Lawyers.