Catalina Pantilimon
CATALINA PANTILIMON

eu CREEZ

Mă pasionează domeniul protecției datelor și îmi dă sens să ajut operatorii de date să absoarbă în activitatea lor beneficiile implementării GDPR adaptat la specificul fiecăruia și în spiritul îmbunătățirii continue. Singurul mod în care acest lucru este posibil este printr-o abordare sistemică a proceselor de prelucrare a datelor personale și integrarea principiilor de prelucrare precizate de legiuitor – legalitate, echitate și transparență / limitare legat de scop / reducerea la minim a datelor / exactitate / limitare legată de stocare / integritate și confidențialitate (securitate) / responsabilitate – pe toate nivelele de management, în mod etapizat.

01.

NOI mentalități

NOI MENTALITATI

Arăt oamenilor de ce și cum să protejeze constant datele personale cu care operează, în mod corect.
AFLA MAI MULT
02.

NOI POSIBILITĂȚI

NOI ORIZONTURI

Reconfigurez prin organizare și optimizare procesele de lucru pentru implementarea principiilor GDPR.
AFLA MAI MULT
03.

NOI DEPRINDERI

NOI DEPRINDERI

Ca DPO extern, modelez cu consecvență comportamente pentru ca activitatea operatorului de date să respecte GDPR.
AFLA MAI MULT

NOI MENTALITATI

Arăt oamenilor de ce și cum să protejeze constant datele personale cu care operează, în mod corect.

Schimbarea nu este ușoară pentru nimeni, deoarece forțează adaptarea la noi înțelegeri a credințelor noastre fundamentale cu care suntem obișnuiți de-o viață. Aceste mentalități noi provoacă rezistența noastră la schimbare și e nevoie să investim timp, calitatea și claritatea informației pentru repoziționarea corectă și congruentă cu obiectivele noastre actuale.

Instruire

Pentru orice operator de date cea mai importantă resursă este resursa umană. Procesul de instruire este primordial pentru protecția datelor cu caracter personal și, în niciun caz, nu se face fără o planificare riguroasă a temelor relevante pentru activitățile de prelucrare a operatorului/ împuternicitului. Aceasta nu semnifică un îndemn la a nu face instruiri cu caracter general, ci la a face instruire adaptată pentru a valorifica la maxim rezultatele dorite când alocăm timp în acest proces.

În accepțiunea mea, sunt câteva elemente esențiale de avut în vedere când vrem ca prelucrarea datelor să fie făcută în activitățile de prelucrare în cunoștință de cauză:

  • Instruirea trebuie să fie modulată pe fiecare nivel ierarhic și adaptată ca și conținut în mod specific rolurilor celor care sunt instruiți;
  • Documentarea instruirii trebuie realizată într-un limbaj accesibil, pe înțelesul fiecărui nivel din structura organizațională a operatorului;
  • Recurența și constanța activităților de instruire sunt ingredientele secrete pentru ca operatorul de date să construiască o cultură organizațională/ instituțională care să înglobeze și componenta de privacy;
  • Prima categorie ierarhică instruită este managementul de vârf – dacă un șef nu respectă legea confidențialității datelor, este puțin probabil să o respecte subalternul lui.

Predare curs formare DPO

Formarea unei comunități de specialiști bine pregătiți în domeniul protecției intimității și vieții private a oamenilor presupune formarea unor Responsabili cu protecția Datelor (DPO) într-un spirit cât mai profesionist.

Rolul DPO-ului este un rol sensibil, pentru că necesită calități deosebite și o formare riguroasă. A fi formator de DPO înseamnă să inspiri înțelegeri profunde și bune practici validate.

Cea mai împlinitoare satisfacție profesională a mea o reprezintă bucuria de a fi lector postuniversitar în cadrul Facultății de Drept a UMFST Târgu Mureș, pentru Cursul de formare DPO – o calitate care mă onorează și mă provoacă la performanță în același timp, având în vedere că am absolvit în 2019 același curs organizat la Facultatea de Drept a Universității Ștefan cel Mare din Suceava.

Faptul că am devenit colegă cu unii din domnii și doamnele profesor care mi-au predat materia dreptului protecției datelor este o prilejul de a oferi cursanților consistență și îndrumare izvorâtă din dominanta mea de practician în implementarea GDPR.

De aceea, acest curs abundă în exemple practice și în metode de lucru cu care un DPO va opera în instrumentarea activităților specifice desfășurate, dar și multe informații privind recuzita de soft skills primordială inserției și absorbției rolului de DPO în cultura organizațională/ instituțională a operatorului de date.

Prezentarea cursului pe Jurdice.ro poate fi consultată aici.

Public speaking

Particip, în calitate de lector/ speaker la evenimente publice care au în vedere protecția intimității și vieții private, inclusiv coroborat cu exercitarea altor drepturi fundamentale ale omului. Din categoria acestor evenimente fac parte evenimente precum:

  • Întâlniri ale cluburilor de afaceri din întreaga țară și nu numai
  • Conferințe tematice adresate mediului socio-economic, inclusiv cele pe tema legalității utilizării noilor tehnologii
  • Emisiuni televizate sau difuzate în media prin intermediul platformelor de partajare video
  • Reuniuni a diverselor comunități ce reprezintă o profesie
  • Conferințe de specialitate organizate de entități precum Universul Juridic sau Universități.

NOI POSIBILITĂȚI

Reconfigurez prin organizare și optimizare procesele de lucru pentru implementarea principiilor GDPR.

Priceperea și nivelul de competență și de pregătire a angajaților sunt puse în valoare prin stabilirea unor obiective SMART (Specifice, Măsurabile, Accesibile, Relevante și încadrate în Timp) și organizarea proceselor de lucru optim realizării lor întocmai. Din atitudinea observatorului, ajut la identificarea și implementarea soluțiilor care economisesc timp și bani cu eficientizarea rezultatelor obținute.

Măsuri tehnice și organizatorice

Contrar convingerii împământenite că GDPR încurcă operatorul de date în realizarea obiectivelor, identificarea și implementarea MTO (Măsuri Tehnice și Organizatorice) reprezintă un sprijin real în optimizarea și securizarea activității operatorului, sub condiția adaptării la specificitatea fiecărui sistem în mod particularizat.

Aceasta deoarece nu poate fi realizată implementarea sistemică a principiului privacy by design & by default fără o analiză și o reglementare riguroasă a:

  • Rolurilor și responsabilităților membrilor echipei;
  • Inventarierea proceselor care integrează fluxul datelor prelucrate, atât în relație cu interiorul operatorului cât și cu mediul extern al acestuia;
  • Asigurarea legalității prelucrărilor de date cu caracter personal prin identificarea scopurilor și temeiurilor legale de prelucrare efectuate online, offline, în format letric și electronic;
  • Instruirea și responsabilizarea personalului în mod direct proporțional cu prerogativele cuprinse în fișa postului;
  • Luarea de măsuri efective pe linie de securitate fizică și securitate cibernetică;
  • Stabilirea canalelor de comunicare aprobate la nivelul operatorului și a interdicțiilor
  • Reglementarea și actualizarea accesului la date urmând dinamica activității operatorului de date;
  • Constituirea garanțiilor adecvate de respectare a cerințelor GDPR intern dar și cu partenerii de afaceri;
  • Monitorizarea menținerii MTO implementate și îmbunătățirea continuă plin aplicarea Ciclului Deming – PDCA (Plan/ Do/ Check/ Act);
  • Managementul riscului și asigurarea continuității activității operatorului prin pregătirea planurilor de intervenție și distribuirea resurselor necesare să asigure disponibilitatea și integritatea datelor în sistemul de prelucrare;
  • Efectuarea analizelor LIA (Legitimate Interest Assessment) & DPIA (Data Protection Impact Assessment), de fiecare dată când cere legea sau când gradul de risc asociat prelucrării este unul ridicat.

Aceste activități de conformare sunt toate necesare cumulativ, într-un mod mai mult sau mai puțin pronunțat, în toate mediile de prelucrare a datelor cu caracter personal ale operatorilor de date; prin toate aceste acțiuni este facilitată implicit tratarea vulnerabilităților identificate pe parcurs.

Deși este un proces laborios, este unul extrem de util pentru că presupune scoaterea din subteran și tratarea punctuală a problemelor de natură legală sau organizatorică pe care operatorul uneori nici nu știe că le are.

Cum facem acest lucru? Simplu, aplicând tehnica elefantului – etapizăm realizarea activităților de conformare în funcție de gradul de expunere identificat și adaptăm ritmul de lucru în funcție de resursa de timp a operatorului în baza unui plan împreună convenit.

NOI DEPRINDERI

Ca DPO extern, modelez cu consecvență comportamente pentru ca activitatea operatorului de date să respecte GDPR.

Așa cum îmi place mie să le spun cursanților noștri, Responsabilul cu Protecția Datelor – a tradus așa în limba română din mult mai edificatoarea titulatură de Data Protection Officer (DPO) – este ”one of a kind” în pleiada de responsabili desemnați în companii și instituții intern sau ca serviciu externalizat, prin dispozițiile legale aplicabile.

 

Spre deosebire de ceilalți responsabili cu care ne-am obișnuit – SSM, RU, RSVTI etc., DPO-ul nu se ocupă doar de un segment din activitatea operatorului ci rolul său este aplicabil tuturor departamentelor și spațiilor (fizice sau virtuale) ce găzduiesc activitățile de prelucrare efectuate pentru realizarea obiectului de activitate, funcției administrative sau misiunii operatorului.

Ce face, mai exact, un responsabil cu protecția datelor – obligatoriu pentru operatorii organisme de stat și cei privați cu peste 250 de angajați, dar nu numai?

Iată principalele prerogative ale DPO-ului, așa cum sunt definite în GDPR:

1.   informarea și consilierea operatorului, sau a persoanei împuternicite de operator, precum și a angajaților care se ocupă de prelucrare cu privire la obligațiile care le revin în temeiul prezentului regulament și al altor dispoziții de drept al Uniunii sau drept intern referitoare la protecția datelor;

2.   monitorizarea respectării GDPR, a altor dispoziții de drept al Uniunii sau de drept intern referitoare la protecția datelor și a politicilor operatorului sau ale persoanei împuternicite de operator în ceea ce privește protecția datelor cu caracter personal, inclusiv alocarea responsabilităților și acțiunile de sensibilizare și de formare a personalului implicat în operațiunile de prelucrare, precum și auditurile aferente;

3.   furnizarea de consiliere la cerere în ceea ce privește evaluarea impactului asupra protecției datelor și monitorizarea funcționării acesteia, în conformitate cu articolul 35;

4.   cooperarea cu autoritatea de supraveghere – A.N.S.P.D.C.P. în Romania;

5.   asumarea rolului de punct de contact pentru autoritatea de supraveghere privind aspectele legate de prelucrare, inclusiv consultarea prealabilă menționată la articolul 36, precum și, dacă este cazul, consultarea cu privire la orice altă chestiune.

Rolul DPO-ului este explicat pe larg în unul din Ghidurile EDPB (fostul WP29) – European Data Protection Board, însă te invit să urmărești materialul video pe care l-am realizat pe această tema relației cu DPO-ul, aici.

Recomandările EDPB includ și numirea unui DPO în sistem de voluntariat inclusiv de către operatorii pentru care numirea unui DPO nu este obligatorie, tocmai pentru că acest specialist cu formare multidisciplinară și competențe multiple este cel care monitorizează respectarea permanentă a GDPR în activitățile de prelucrare.

Numirea DPO-ului trebuie să respecte anumite cerințe privind nivelul de studii și capacitatea sa profesională și să aibă în vedere ca persoana selectată să nu se afle în incompatibilitate sau conflict de interese prin ocuparea acestei funcții, condiții care presupun ca aceasta să nu facă parte din echipa care stabilește scopul și mijloacele prelucrării datelor, formal sau informal.

În condițiile în care operatorul nu dispune de resurse umane interne valabile pentru alocarea acestui rol sau nu dorește DPO intern, intră în scenă specialiștii ca și mine – deoarece singura soluție este externalizarea serviciului, inclusiv pentru a beneficia de un grad de expertiză mai ridicat.