Opinie Roxana Guiman Drilea și Anca Zegrean, Biriș Goran: Cine nu e gata...plătește

ROXANA GUIMAN DRILEA

SENIOR ASSOCIATE BIRIS GORAN, COORDONATOR AL PRACTICII DE IP, UT&C SI DATA PROTECTION

REGULAMENTUL GENERAL PRIVIND PROTECȚIA DATELOR PRESUPUNE:

∫ Sferă de aplicare mai largă
∫ Eliminarea mecanismului actual de notificare a autorității naționale (ANSPDCP) și introducerea principiului responsabilității – operatorul trebuie să poată demonstra că respectă cerințele RGPD
∫ Drepturi mai largi pentru persoana vizată și reguli mai restrictive pentru consimțământ
∫ Introducerea responsabilului cu protecția datelor
∫ Obligația notificării incidentelor de securitate
∫ Sancțiuni severe (până la 4% din cifra de afaceri globală sau 20 mil. euro)

RGPD STABILEȘTE ȘASE PRINCIPII PE CARE OPERATORUL TREBUIE SĂ DEMONSTREZE CĂ LE RESPECTE:

∫ Prelucrarea legală, echitabilă și transparentă a datelor
∫ Colectarea datelor în scopuri determinate, explicite și legitime
∫ Prelucrarea este adecvată, relevantă și limitată la scop
∫ Datele sunt exacte și permanent actualizate
∫ Păstrarea datelor într-o formă care permite identificarea persoanelor vizate, pe o perioadă care nu depășește perioada necesară îndeplinirii scopurilor în care sunt prelucrate datele
∫ Prelucrarea datelor într-un mod care asigură securitatea adecvată

ANCA ZEGREAN 

SENIOR ASSOCIATE BIRIS GORAN, HEAD OF LABOR PACTICE

Datele cu caracter personal sunt folosite și împărtășite cu mare lejeritate de multe entități; însă din luna mai a anului viitor legea va obliga companiile să îndeplinească reguli clare. 80% dintre companii abia încep să conștientizeze ecartul dintre reglementări și statu-quo, pe când abia 20% dintre jucătorii economici înțeleg și se adaptează de fapt cerințelor cu privire la protecția datelor cu caracter personal. Amenzile ce vor putea fi aplicate sunt de până la 4% din cifra de afaceri sau 20 de milioane de euro, luându-se în calcul valoarea cea mai mare.

Luat în serios sau nu până acum de către operatorii economici din România, Regulamentul General privind Protecția Datelor (RGPD) este aplicabil în toate statele membre începând cu data de 25 mai 2018, înlocuind actuala Directivă 95/46/EC, transpusă la noi prin Legea 677/2001.

Noua reglementare a apărut din necesitatea de a continua efortul de unificare a pieței economice europene, a ține pasul cu noile tehnologii și a ajuta la conștientizarea valorii și impactului real al informației la ora actuală. Știm cu toții din presă de existența numeroaselor ”indiscreții“ pe care, în timp, și le-au permis entități economice și administrative cu privire la datele personale pe care le colectează. Știm cu toții cât valorează o bază de date pentru o companie producătoare de bunuri generale de consum (FMCG), precum și faptul că prelucrarea și transferul de date personale sunt, în cel mai bun caz, neclare pentru majoritatea celor care sunt direct implicați în respectivul proces: indivizi ale căror date sunt prelucrate, companii-beneficiar, prestatori de servicii ce efectuează prelucrarea de date personale și autorități.

Un sondaj de opinie efectuat recent la nivel european pe tema protecției datelor cu caracter personal a relevat faptul că, dintre cei intervievați (reprezentanți ai unor companii din varii industrii), numai 20% se consideră deja conformați cu Regulamentul General privind Protecția Datelor, în vreme ce 59% spun că abia acum lucrează la acest aspect și 21% recunosc că nu sunt pregătiți deloc.

Dacă ne raportăm la situația României, lucrurile sunt chiar ceva mai deconcertante. Având în vedere legislația încă în vigoare și mecanismele de implementare aferente, demersurile companiilor în vederea protejării datelor cu caracter personal au fost în majoritatea cazurilor caragialești, adică minunate dar lipsind cu desăvârșire… Și asta pentru cel mai simplu motiv cu putință: costul de conformare depășea cu mult valoarea amenzilor în caz de neconformitate.

Comparativ cu alte state europene, sancțiunile adoptate de către autoritatea de supraveghere din România (ANSPDCP) au fost considerabil mai ”firave“. Pentru exemplificare, în contextul în care, la nivel istoric, cea mai mare amendă din România a fost în jurul a 50.000 de lei, în alte state membre UE amenzile ajung constant la nivelul sutelor de mii de euro. De exemplu în anul 2016, în Marea Britanie valoarea totală a amenzilor pentru încălcarea obligațiilor privind protecția datelor a atins 3,2 milioane de lire sterline, autoritatea națională (ICO) având puterea de a acorda amenzi de până la 500.000 lire sterline. în Italia, unde pragul maxim al amenzii este în prezent de 2,4 mil. euro pentru fiecare încălcare a legislației referitoare la folosirea datelor cu caracter personal, au fost de curând aplicate unor societăți activând în industria transferurilor de bani de sancțiuni totale de peste 11 milioane de euro (între 850.000 euro și 5,9 milioane de euro pentru fiecare dintre societățile implicate în ancheta respectivă).

în lipsa datelor naționale concrete în ceea ce privește conformitatea din punctul de vedere al reglementărilor Regulamentului General privind Protecția Datelor și extrapolând experiența cu clienții din portofoliu, estimăm un neîmbucurător Pareto la nivelul României: 80% dintre companii abia încep să conștientizeze ecartul dintre reglementări și statu-quo, pe când abia 20% dintre jucătorii economici înțeleg și se adaptează de fapt la cerințele cu privire la protecția datelor cu caracter personal.

Mai sunt doar șase luni până la data de 25 mai 2018, șase luni decisive pentru operatorii economici care nu doresc să intre cu stângul în era nouă a protecției datelor. Nu de alta, dar sancțiunile sunt deja la nivelul procentelor din cifra de afaceri… până la 4% din cifra de afaceri mondială totală anuală sau 20 de milioane de euro, luându-se în calcul cea mai mare valoare.
De asemenea, estimăm că, deși aproape toți operatorii economici sunt afectați de noile reglementări, cei mai expuși rămân cei ce activează în zonele de media, telecom, marketing, retail, banking, servicii cloud, servicii medicale și farma, activități online sau orice alte domenii ce implică interacțiune directă pe scară largă cu persoanele fizice.

Cu titlul de exemplu, între aspectele care se vor schimba odată cu data de 25 mai 2018 se numără clarificarea și extinderea definiției datelor personale (”date cu caracter personal“ înseamnă orice informații privind o persoană fizică identificată sau identificabilă – ”persoana vizată“; o persoană fizică identificabilă este o persoană care poate fi identificată, direct sau indirect, în special prin referire la un element de identificare, cum ar fi un nume, un număr de identificare, date de localizare, un identificator online, sau la unul sau mai multe elemente specifice, proprii identității sale fizice, fiziologice, genetice, psihice, economice, culturale sau sociale), fiind menționate expres și datele de localizare și datele genetice. De asemenea, sunt introduse noi drepturi ale persoanelor vizate, cum ar fi dreptul la ștergerea datelor (dreptul de a fi uitat) și dreptul la portabilitatea datelor.