Punctele cardinale ale implemetării GDPR în organizații și instituții

Extras din articolul intitulat „Punctele cardinale ale implementării în profunzime a GDPR”, publicat în nr. 2/2022 a Revista română pentru protecţia şi securitatea datelor cu caracter personal (RRPSDCP)®, publicată prin grija Universul Juridic.

Autor: Cătălina Pantilimon

Regulamentul european pentru protecția datelor – GDPR – reprezintă o resursă extraordinară a cărei utilitate nu este încă revelată și exploatată de companii și instituții pe deplin.

Având ca punct de plecare acest preambul construit pe obligația legală a operatorilor de date cu caracter personal de a asigura securitatea și confidențialitatea informațiilor personale și aducând în discuție și principiul responsabilității afirmat la art. 5 din GDPR sub condiția capacității de a demonstra punerea în aplicare efectivă și perpetuă a acestuia, putem spune că ne aflăm în fața unui întreg sistem de conformare pe care îl avem de pus în operă la operatorul de date cu caracter personal, pentru protecția acestor ”bunuri”, așa cum le-am prezentat în paragraful anterior. În fapt, e vorba despre un sistem de prelucrare ajustat până la nivel de finețe la mediul de lucru ce constituie „bazinul „ce găzduiește toată rețeaua informațională ce transportă și transformă datele cu caracter personal în scopul propus și declarat prin informarea persoanei vizate.

Adresabilitatea primordială a acțiunilor noastre de conformare este, așadar, față de mediul de lucru, mediu ce poate fi considerat un microcosmos în macrocosmos, fiind construit pe straturi ce se suprapun și se influențează reciproc în multe moduri. Întocmai după modelul ce stă la baza organizării societății umane, care se așază pe locul ce găzduiește viața, așa și la operator, stratul de bază este localizarea geografică, configurația și dispunerea spațiilor fizice ce găzduiesc activitățile de prelucrare. Avem, mai apoi, componenta demografică, ce se traduce prin angajații operatorului, în timp ce infrastructura educațională la nivelul societății civile își găsește corespondentul în mediul de prelucrare prin formarea profesională continuă și instruirile specifice de care angajatul beneficiază. În continuare, așa cum un sistem de sănătate are ca obiectiv buna funcționare a cetățenilor, în parte și-n tot, tot așa la nivelul operatorului cultura organizațională creează și actualizează permanent comportamente acceptate, congruente cu valorile grupului, valori la care aderă fiecare membru, în mod conștient și asumat. Mai departe, rețeaua de drumuri și căi de transport în comun sunt transpuse la nivelul operatorului prin setul de reguli și proceduri, la nivel de departament și la nivel de entitate, mapate corespunzător și demonstrate practic la nivelul echipei. Ultimul strat, care îmbracă toată această structură, este capacitatea construirii sinapselor corecte între aceste planuri, pe termen scurt, mediu și lung, fără a încărca mediul de lucru al operatorului cu acțiuni nenecesare ce generează aversiune față de GDPR în rândul angajaților, dar și al clienților ce, din varii motive, nu pun prea mare preț pe protejarea propriei intimități.

O certitudine, fără echivoc, a implementării GDPR este vastitatea, lucru lesne de înțeles dacă privim operatorul în mod sistemic, ca pe o entitate în continuă transformare. Și această vastitate face a fi necesară utilizarea unui sistem de navigare, pentru o bună orientare a procesului de conformare și menținerea prelucrărilor de date personale la cerințele GDPR. Să ne orientăm în spațiu, avem nevoie de busolă; deci tot de o busolă ne putem folosi să navigăm în mediul de prelucrare a datelor cu caracter personal, pentru a ajunge la destinația dorită: un grad cât mai mare de complianță GDPR.

Această abordare presupune punerea în operă a unei gândiri de ansamblu, panoramice și rafinarea direcțiilor optime pentru ca acest instrument, în fapt chiar o metodă – busola implementării în profunzime a GDPR, să fie unul versatil ca posibilități de utilizare și facil de aplicat, logic.

Nordul magnetic al implementării GDPR am identificat a fi responsabilitatea operatorului, conjugată cu capacitatea de a dovedi. Principiul responsabilității se înfățișează așadar a fi principiul integrator al celorlalte șase, cu punerea în exploatare a mijloacelor proprii operatorului prin contribuția echipei. Echipa este una din cheile uriașe în punerea în funcțiune și menținerea acestui angrenaj complex de aplicare și menținere a principiilor de prelucrare a datelor personale, fiind necesar a fi modelată și ajustată permanent, prin instruiri de actualitate, documentarea corectă și conformă cu realitatea a relației dintre angajat și angajator (n.n. prin fișele de post, de exemplu), dar și prin responsabilizarea echilibrată a angajaților ce prelucrează aceste date – cu constituirea garanțiilor direct proporțional cu riscul prelucrărilor atribuite acestora. Este deja un fapt dovedit și bine cunoscut că una din vulnerabilitățile majore pe linie GDPR sunt oamenii din organizație/ instituție, ca un revers nefast al creativității naturii umane, ceea ce trebuie să ne țină vigilenți și bine informați, atât din mediul formal, cât și din cel informal. Cu cât comunicarea în mediul de prelucrare este mai clară, mai transparentă, mai orientată spre obiectivul comun al respectării dreptului la intimitate și viață privată al oamenilor prin protejarea datelor cu caracter personal, cu atât mai mic este riscul de producere a unui incident de securitate.

Nu trebuie pierdut din vedere faptul că, pentru claritatea mediului de lucru, organizarea și distribuirea sarcinilor, în mod ideal și documentat printr-o matrice a responsabilităților revizuită continuu, este piatra de temelie care în mod solid va contribui implicit la stabilirea trasabilității fluxurilor de date cu caracter personal și atribuirea responsabilității persoanelor desemnate.

Sudul busolei noastre este etica, fără de care responsabilitatea șubrezește semnificativ. ”Etica aplicată analizează, din punct de vedere moral, o serie de situații concrete din practica socială sau profesională, în vederea luării/ adoptării unor decizii adecvate.”, ne arată în suportul său de curs1 dl. prof. Antonio Sandu. Tot el afirmă, în cadrului aceluiași material, că ”eșecul eticii teoretice de a se adresa eficient comunităților profesionale din domenii care înregistrează o acută nevoie de evaluare etică a practicii a dus la constituirea unor domenii particulare ale eticii a căror limbaj de specialitate şi natură epistemică le face mai adecvate ca instrumente de lucru ale profesioniștilor din domeniile medical, de afaceri, a evaluărilor tehnologiilor, a jurnalismului, juridicului etc.”, ceea ce întărește importanța integrării eticii în toate activitățile de prelucrare a datelor cu caracter personal efectuate de operatorii de date, sub directa lor răspundere.

Un percept etic cu greutate, demn a fi luat în seamă este acela al ”regulii de aur”2, percept transpus în îndemnul: ”Comportă-te cu ceilalți așa cum ai vrea să se comporte ei cu tine.” O perspectivă de îmbrățișat, atâta vreme cât vorbim mai degrabă despre a acționa din auto-convingere, posibilitate ce rezidă dintr-o atitudine de empatie și de profundă înțelegere a cauzalității evenimentelor la care celălalt este supus, prin prisma propriilor noastre acțiuni sau non-acțiuni.

Acesta este spectrul care ne indică cât e de important ca operatorul, prin factorii săi decizionali, cât și angajații acestuia să perceapă GDPR mai întâi intrinsec, ca pe un mănunchi de bune practici cu beneficii multiple și abia apoi ca pe o obligație legală ce acționează inerent asupra lor. Responsabilitatea comunitară și socială a unei organizații înseamnă integrarea cu profesionalism a principalelor funcții ale eticii3 – funcția cognitivă, funcția normativă (axiologică) și funcția persuasivă, pe toate nivelele de management, în mod proporțional, având prezent în minte că, etica manifestată de responsabilul cu protecția datelor nu este îndeajuns, în lipsa asumării in integrum a acestor valori, la nivelul operatorului de date cu caracter personal.

Pe scurt, e vorba, prin urmare, despre a crea contextul favorabil în care conceptele precum Principiu, Valoare, Moralitate, Umanitate, Onestitate sau Alegere sunt folosite benefic în cadrul activităților de prelucrare, având ca rezultat firesc respectarea implicită, nu explicită, a GDPR.

Mergând pe axa orizontală, la Est avem informația, iar la Vest stă îmbunătățirea continuă, deloc întâmplător pe aceeași axă.

Este un adevăr universal deja, acela că informația este puterea, iar datele personale au ajuns, prin valoarea lor, să fie considerate noul petrol al planetei. Un atribut fundamental al informației este structura, deoarece doar informațiile organizate sistemic conțin plusul de valoare pentru care datele personale sunt un bun vandabil, monetizat deja. Informația circulă în mediul de prelucrare prin intermediul unor canale de comunicare specifice organizației/ instituției. Comunicarea este de două feluri, cea oficială, predictibilă, la vedere, și care compune mediul formal și comunicarea neoficială, în care informația se mișcă liber, în toate direcțiile în mediul de prelucrare al operatorului (ascendent, descendent, orizontal, în diagonală, încrucișat), trecând peste nivelurile ierarhice4. Comunicarea formală se referă în principal la aspecte privind munca și cuprinde structura organizatorică și proceduri ce stabilesc canalele prin care circulă informația la nivelul activității operatorului, în funcție de tipul și procesele de prelucrare. Însă, deoarece comunicarea informală se desfășoară în afara comunicării formale și aduce în prim plan conexiunile informale, de multe ori acest mediu de prelucrare este mai extins și mai puternic decât structura rigidă și limitată a comunicării formale. Se relevă, așadar, argumente solide pentru care sunt de luat în considerare prelucrările de date cu caracter personal efectuate online, offline, letric și electronic, atât în mediul de comunicare formal cât și informal, dacă ne dorim o conformare GDPR fără fisuri în armură.

Vestul e alocat, după cum am menționat mai devreme, îmbunătățiri continue, a cărui focus principal e pus pe eliminarea și acolo unde nu este posibilă eliminarea, minimizarea riscului de încălcare a protecției datelor cu caracter personal.

Îmbunătățirea continuă, după cum îi spune și denumirea, este un proces ciclic, care trebuie menținut activ continuu, proces foarte elocvent detaliat printr-o metodă de organizare și

desfășurare a activităților de management, orientată spre identificarea și corijarea acțiunilor nepotrivite, metodă consacrată de William Edwards Deming5 sub denumirea de ciclu P.D.C.A.6, acronim dat de succesiunea de cuvinte Plan (planificare) – Do (efectuare) – Check (verificare) – Act (acționare), dispuse în această ordine logică, într-un cerc împărțit în patru părți egale. Când punem în aplicare această metodă, avem în minte crearea unui perpetuum mobile, care preia în flux contextul și momentul prelucrării datelor personale, echipa și rolurile alocate, controalele instituite în baza procedurilor operaționale și instrucțiunilor de lucru, mecanismele de analiză adoptate la nivelul operatorului, precum și capacitatea de răspuns în fața amenințărilor identificate cu alocarea vremelnică a tuturor resurselor necesare pentru asigurarea protecției datelor personale. Făcând în mod repetitiv aceste acțiuni de planificare, efectuare, verificare și acționare, cu timpul, capacitatea de răspuns al operatorului la situațiile de risc va crește, atât cantitativ cât și calitativ, iar gradul de conștientizare și implicare a angajaților pentru GDPR va fi mai ridicat.