GDPR se aplică și primăriilor?
În primul rând, dacă vă mai întrebați cumva dacă primăria dumneavoastră este operator de date cu caracter personal, răspunsul este categoric DA.
Orice agent economic care colectează și procesează date cu caracter personal este operator de date, deci trebuie să se conformeze GDPR până la 25 mai 2018. Acest regulament va înlocui de la această dată Legea 677/2001 privind protecția datelor cu caracter personal.
Am scris acest ghid pentru a oferi o explicație pe înțelesul tuturor a ceea ce presupune noul regulament de protecție al datelor personale și care sunt măsurile care trebuie luate pentru o Primărie pentru a fi în conformitate cu GDPR.
NOUL REGULAMENT DE PROTECȚIE A DATELOR PE ÎNȚELESUL TUTUROR
GDPR – Global Data Protection Regulation – este un regulament adoptat la nivel de UE a cărui obiectiv general este de a crește nivelul de protecție al datelor cu caracter personal.
În acest sens GDPR pentru primării:
| Nr | Măsuri de adoptat. Ghid GDPR pentru primării. | Caracter |
|---|---|---|
| 1 | Desemnați un ofițer de protecția datelor – DPO – până la 25 mai 2018. | Obligatoriu |
| 2 | Raportați scurgerile de date către autorități în maxim 72 de ore de la identificare. | Obligatoriu |
| 3 | Inventariați în scris echipamentele din cadrul Instituției. | Recomandare fermă |
| 4 | Definiți temeiului legal de colectare a datelor. | Recomandare fermă |
| 5 | Evaluați riscurile de scurgere de date. | Recomandare fermă |
| 6 | Formulați în scris un set de proceduri tehnice și de conduită pentru prelucrarea datelor. | Recomandare fermă |
| 7 | Criptați și anonimizați datele. | Recomandare fermă |
| 8 | Țineți evidența prelucrărilor de date. | Recomandare fermă |
| 9 | Implementați soluții de backup. | Recomandare fermă |
| 10 | Asigurați-vă că aveți un contract scris cu furnizorii dumneavoastră de servicii IT prin care definiți clauze de protecția datelor la care le dați acces. | Recomandare fermă |
Ce înseamnă o scurgere de date? Înseamnă că datele personale ale cetățenilor dumneavoastră ajung unde nu ar avea voie să fie și/sau pe mâinile unor persoane neavizate.
De exemplu, furtul unei baze de date sau ale unor dosare din arhivă; un angajat care își copiază pe stickul USB personal documente care conțin date cu caracter personal și le pune la dispoziția unor terți.
Cum îmi dau seama că a avut loc o scurgere de date? Ei bine, aici intervine rolul următoarelor recomandări cu privire la proceduri și măsuri tehnice de adoptat. Chiar dacă ele nu sunt specificate ca fiind obligatorii, în lipsa lor riscul unei scurgeri de date pe care să nu o puteți identifica (și deci raporta) crește exponențial.
La care autoritate raportez mai exact scurgerea de date? În cazul Romaniei, la Autoritatea Natională de Supraveghere a Prelucrării Datelor cu Caracter Personal.
Inventariați în scris datele cu caracter personal pe care le procesați, fluxurile acestor date și echipamentele din cadrul Instituției.
Este recomadat să realizați un inventar atât al tuturor datelor cu caracter personal pe care instituția dumneavoastră le colectează cât și al tuturor fluxurilor de date și al proceselor de prelucrare. În acest sens sunt importante caracteristicile acestor date: ale cui sunt datele, care est scopul și temeiul legal pentru această procesare, unde sunt stocate, măsurile și procedurile de securitate, cine le operează și cine are acces la ele, etc.
Pentru a veni în ajutorul dumneavoastră, am dezvoltat GDPR Complet Cartografiere Date cu Caracter Personal – o aplicație software creată special pentru cartografierea datelor și realizarea unei hărți cu aceste date și fluxurile / legăturile dintre ele.
Un aspect la fel de important este și inventarierea echimamentelor din cadrul instituției: calculatoarele, serverele și laptopurile pe care se lucrează, dar și telefoane mobile, routere, hard diskuri externe, stickuri USB, etc.
Trebuie realizată o inventarie atât hardware cât și software a acestor echipamente. În acest sens vă punem la dispoziție o aplicație care vă permite realizarea acestui audit: GDPR Audit.
Acest set de proceduri are ca rol
- Oferirea unei priviri de ansamblu transparente, în scris, a felului în care sunt colectate și procesate datele și de către cine anume
- Să dea un set de soluții clare la riscurile identificate la evaluarea de la punctul 5.
De exemplu o măsură de bun simț în cazul stivelor de dosare la care are nepermis de multă lume acces ar fi ca ele să fie ținute într-un dulap încuiat iar cheia să fie doar la doua sau trei persoane pe care le desemnați.
E vreun anumit format pe care trebuie să îl respect aici?
Regulamentul nu impune neapărat o structură vizuală, mai degrabă una de substanță a conținutului. Și anume în documentul respectiv trebuie să apară:
- Ce fel de date sunt colectate? (ex: nume, prenume, adresă, serie și nr CI, CNP)
- De ce anume? Pentru ce se folosesc (temeiul legal)
- Cine le prelucrează?
- Cum sunt ele securizate?
Aici intrăm într-o zonă mai tehnică unde e bine să îți implici echipa IT. Și anume vorbim de bazele de date în care se regăsesc datele personale ale cetățenilor.
Acestea pe de-o parte trebuie construite astfel încât să asigure anonimizarea datelor. Mai concret, să nu existe într-un sigur loc (aceeași tabelă) TOATE datele unei persoane, ci în mai multe tabele. Acestea din urmă ar urma să fie unificate de către aplicația care le folosește pe baza unor id-uri.
În al doilea rând, bazele de date trebuie criptate astfel încât informația din interiorul lor să nu fie accesibilă fără accesul la un cod de criptare (encryption key). În acest sens se pot folosi aplicații de criptare.
În acest sens este recomandat să contactați furnizorii de aplicații și să verificați daca implementează măsuri în direcția aspectelor de mai sus.
Această evidență devine cu atât mai importantă cu cât volumul datelor prelucrate este mai mare deși este mai greu de ținut în lipsa unei soluții performante în acest sens.
Venim în întâmpinarea necesității de evidențiere și monitorizare a activităţilor de prelucrare a datelor cu caracter personal oferind două aplicații specializate în acest sens: GDPR Complet Audit și GDPR Complet Cartografiere Date cu Caracter Personal.
Acestea vă vor ajuta să aveți o versiune a datelor la zi, în cazul pierderii sau coruperii datelor pe care le dețineți.
Sunt multiple soluții în acest sens, de la aplicații gratuite gen Dropbox sau Google Drive până la variante personalizate care vă pot fi oferite de furnizorii dumneavoastră de servicii IT.
Atenție totuși la contractele cu furnizorii dumneavoastră de servicii IT.
GDPR vă obligă să aveți un contract scris cu aceștia (atât furnizorii de servicii IT, cât și cu furnizorii aplicațiilor pe care le folosiți – cei care au în definitiv acces la datele Instituției) prin care se stabilește clar responsabilitatea lor în protejarea datelor la care le dați acces.
Conform regulamentului, deși aceștia nu sunt operatori de date, ei sunt denumiți ca împuterniciți și, având acces la datele dumneavoastră, poartă și ei o răspundere importantă, care trebuie clarificată prin contractul scris (fie printat, fie doar în format electronic) pe care îl semnați cu aceștia.
Este foarte recomandat ca și ei ca firmă furnizoare de produse sau servicii să fie în conformitate cu GDPR.
