Vă mai aduceți aminte de GDPR? Românii sunt în top în UE când vine vorba de numărul amenzilor plătite. Care au fost cauzele și valoarea acestora

„Am observat o creștere a gradului de conștientizare asupra aspectelor legate de protecția datelor, atât la nivelul companiilor, dar și la nivelul cetățenilor. Acest lucru a determinat și o atenție sporită din partea operatorilor economici care prelucrează date, în sensul de a revizui politicile existente și a de investi în programe de conformitate, pentru a se asigura că modul în care își desfășoară activitatea corespunde cerințelor legislației în domeniu”, descrie Raluca Pușcaș, partener și head of data protection în cadrul Filip & Company, evoluția asupra GDPR în ultimii ani. Ea observă că acesta este un proces continuu, în care operatorii economici au parcurs etape importante, cum ar fi, de pildă, transparentizarea operațiunilor de prelucrare a datelor.
De la la aplicarea GDPR (25 mai 2018) și până în prezent, România a ajuns pe locul doi în UE la numărul total de amenzi aplicate (31 de amenzi în România, în valoare totală de aproximativ 517.000 de euro), pe locul I fiind Spania, cu 96 de amenzi, urmată apoi de Ungaria (cu 28 de amenzi), Germania (26 de amenzi), Bulgaria (20), potrivit datelor publicate pe platforma enforcementtracker.com, citate de specialist. Potrivit aceleiași surse însă, ca valoare totală a amenzilor, pe primele locuri sunt Marea Britanie, care a ajuns la o valoare totală a amenzilor de peste 300 de milioane de euro (unele dintre acestea fără o decizie definitivă), Franța (cu aproximativ 51 milioane de euro), Italia (aproximativ 39 de milioane de euro), Germania (aproximativ 26 de milioane de euro), Austria (aproximativ 18 milioane de euro).
Anul trecut, românii au adresat 5.808 de plângeri, iar motivele cele mai frecvente ale acestora se leagă de dezvăluirea datelor cu caracter personal fără consimțământul persoanelor vizate, încălcarea drepturilor și a principiilor prevăzute de GDPR, primirea de mesaje comerciale nesolicitate,  nerespectarea condițiilor privind consimțământul în mediul online sau încălcarea măsurilor de securitate și confidențialitate. Au existat de asemenea și alte sesizări și notificări privind incidente de securitate, observă specialista de la Filip & Co.
Cea mare mare amendă aplicată unui operator din România a ajuns la 150.000 de euro și a fost aplicată unei bănci în octombrie 2019 pentru neaplicarea măsurilor tehnice și organizatorice adecvate pentru a asigura securitatea datelor. La polul opus, cea mai mică amendă a fost de 500 de euro și a fost aplicată unei asociații de proprietari pentru utilizarea unui sistem de supraveghere video fără informarea adecvată și fără a aplica măsurile de securitate necesare. 
Atât în România, cât și în celelalte state membre ale Uniunii Europene, au fost aplicate amenzi pentru încălcări ale legislației privind protecția datelor, iar cele mai frecvente motive pentru aplicarea sancțiunilor includ, potrivit Ralucăi Pușcaș: neimplementarea măsurilor tehnice și organizatorice adecvate care să asigure securitatea datelor cu caracter personal (fapt care a determinat divulgarea sau accesul neautorizat al datelor de către terți), lipsa sau nevalabilitatea temeiului legal al prelucrării (de exemplu, nu a existat un consimțământ informat sau valabil exprimat pentru transmiterea unor mesaje comerciale, ori au fost transmise astfel de mesaje ulterior dezabonării de către persoana vizată, utilizarea unor căsuțe prebifate de acordare a consimțământului), nerespectarea drepturilor persoanelor vizate (de exemplu autoritățile de supraveghere au identificat situații în care operatorii nu au dat curs solicitărilor persoanelor vizate privind accesul de date) etc. 
Raluca Pușcaș observă că există mai multe paliere asupra cărora regulile de protecție a datelor au un impact, printre care transmiterea mesajelor de marketing (prin e-mail sau SMS), dar și în utilizarea social media, a studiilor de satisfacție a consumatorilor, programelor de loialitate, instrumentelor de monitorizarea sau prelucrare automată, care pot folosi și construirea unor profiluri ale consumatorilor sau campaniilor de marketing în diverse forme. „Mesajul cheie în această privință este că GDPR nu trebuie privit ca un obstacol sau interdicție de a folosi aceste instrumente, ci ar trebui ca cerințele de privacy să fie analizate de la început, de la momentul designului strategiei de marketing sau campaniei respective, astfel încât să poată fi găsite soluțiile corespunzătoare.”
Cum poate ști un business dacă este sau nu aliniat standardelor impuse de GDPR? „Ar trebui să pornim de la principiul conform căruia protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal este un drept fundamental. Orice consumator sau angajat al unei companii dorește să știe că datele sale sunt protejate conform legii și că drepturile sale sunt respectate. Derivând din aceste principii, conformitatea cu cerințele GDPR este de fapt un proces continuu, care trebuie inclus în activitatea zilnică a companiei”, descrie Raluca Pușcaș modul în care orice business ar trebui să se poziționeze față de alinierea la standardele impuse de GDPR.
Cel mai recent motiv pentru care GDPR-ul a revenit din nou în atenția publicului larg este dat de contextul stării de alertă, în care proprietarii de terase sunt obligați să dețină un registru cu evidența clienților care fac rezervare, context în care operatorii de restaurante trebuie să fie atenți la potențialele amenzi pe care le-ar putea aduce standardele GDPR. În acest sens, Raluca Pușcaș îi sfătuiește să nu prelucreze mai multe date decât sunt necesare pentru realizarea scopului avut în vedere, datele trebuie păstrate strict pentru acest scop și stocate și prelucrate în condiții de siguranță. Instruirea angajaților este esențială, fiindcă, potrivit avocatului deseori expunerea operatorilor la amenzi conform GDPR a avut la bază neglijența sau lipsa de conștientizare din partea angajaților. Stocarea datelor trebuie făcută doar pentru perioada de timp necesară îndeplinirii acestui scop și, nu în ultimul rând, clienții trebuie prelucrați cu privire la această prelucrare de date, prin comunicarea unei note de informare conform cerințelor GDPR. 
Raluca Pușcaș subliniază și oportunitățile aduse de acest regulament european, considerat deseori o piedică în desfășurarea activităților operatorilor economici: „Înainte de GDPR, unele activități de prelucrare de date se desfășurau în mod netransparent, de multe ori fără ca persoana vizată să știe în ce scop sunt prelucrate datele sau ce terțe părți au acces la ele. GDPR a restabilit controlul persoanelor asupra datelor. Prin urmare, respectarea acestor cerințe de către companii este importantă în stabilirea unei relații de încredere cu clienții lor, ceea ce facilitează dezvoltarea de noi produse și servicii, folosind tehnologii inovatoare și care se bazează în mare măsură pe prelucrări de date.”