Arhive GDPR - Battlegroup

Etichetă: GDPR

De ce trebuie ?terse datele personale

Autoritatea danez? pentru protec?ia datelor Datatilsynet a aplicat recent prima sa amend? pentru înc?lcarea GDPR de c?tre compania de taxi Taxa 4 × 35 (Taxa), pentru p?strarea anumitor date ale clien?ilor pentru mai mult timp decât era necesar.

Înc?lcarea principiului minimiz?rii datelor personale

Autoritatea daneza a constatat c? societatea Taxa nu a respectat principiul minimiz?rii datelor GDPR prin re?inerea datelor cu caracter personal mult timp dup? limita de re?inere preconizat? pentru astfel de categorii de date. Taxa a eliminat numele ?i adresele clien?ilor dup? doi ani de re?inere, dar au p?strat numerele de telefon ale clien?ilor pentru înc? trei ani. Taxa a sus?inut c? numerele de telefon au reprezentat o parte esen?ial? a bazei sale de date IT ?i, prin urmare, nu au putut fi ?terse în acela?i timp.

Autoritatea de protec?ie a datelor nu a fost de acord cu justificarea c? o dificultate în cadrul sistemului informatic al unei companii poate justifica o astfel de înc?lcare grav? a confiden?ialit??ii datelor. În plus, încerc?rile de anonimizare ale datelor de?inute de Taxa erau insuficiente. Anonimizarea datelor presupune ca societ??ile s? fac? imposibil? conectarea anumitor informa?ii astfel încât sa nu poat? fi identificata o persoan? fizica. În ciuda ?tergerii numelor clien?ilor de la Taxa, informa?iile ce au r?mas în sistemul s?u informatic pot totu?i sa identifice persoanele vizate prin numerele de telefon.

Care este relevan?a sanc?iunii?

Autoritatea din Danemarca a aplicat o amend? de 1,2 milioane de coroane, adic? aproximativ 160,754 EUR. Aceasta reprezint? aproximativ 2,8% din cifra de afaceri anual? a companiei, ceea ce demonstreaz?, în esen??, disponibilitatea autorit??ilor de supraveghere ale UE de a se apropia de plafonul anual de 4% anual al cifrei de afaceri globale impus de GDPR. Anterior GDPR, o astfel de amend? în Danemarca nu ar fi dep??it 25.000 de coroane (aproximativ 3.350 de euro). Aceast? amenda consistenta  este legata de cantitatea mare de date despre clien?i de care compania nu a mai avut nevoie, ci a p?strat-o prea mult timp – ?i anume numere de telefon personale conectate la nou? milioane de c?l?torii de taxi. Decizia autorit??ii stabile?te, de asemenea, ?i un precedent, in sensul c? limit?rile organiza?ionale ale procedurilor ?i aplica?iilor IT nu pot fi recunoscute ca fiind un motiv legitim de a supra-p?stra datele cu caracter personal. Companiile care se confrunt? cu astfel de limit?ri sunt nevoite s? exploreze alte solu?ii pentru a diminua riscurile, de exemplu înlocuirea numerelor de telefon ?i a informa?iilor cu identificatori aleatorii pentru a anonimiza în mod eficient datele personale mai vechi.

Sanc?iunea autorit??ii daneze este prima impus? în aceasta ?ar? pentru nerespectarea cerin?elor GDPR, dup? cum tot prima a fost ?i amenda din Polonia pentru înc?lcarea articolului 14 din GDPR – aproape 220 000 EUR pentru nerespectarea de c?tre o companie a inform?rii persoanelor vizate cu privire la modul în care prelucreaz? datele lor personale,  sau amenda-record aplicata în Fran?a gigantului Google, despre care am scris pe larg anterior.

Este evident c? aceast? list? de „prime sanc?iuni” este într-o continua cre?tere, în condi?iile în care autorit??ile de reglementare din UE vor folosi, f?r? îndoial?, practica recent? ca element definitoriu pentru viitoarele controale ?i sanc?iuni. Operatorii de date personale sunt nevoi?i astfel s? ?in? seama de sanc?iunile aplicate în întreaga UE pentru a aprecia consecin?ele înc?lc?rii GDPR ?i a începe s? adopte m?suri tehnice ?i organizatorice de protec?ie a datelor personale.

De ce chiar avem nevoie de GDPR: bazele publice de date

Existen?a companiilor care extrag informa?ii din bazele de date publice ?i ulterior le vând sau revând, într-o form? sau alta, publicului larg, nu reprezint? nicio noutate. Activitatea acestor companii se desf??oar? în cea mai mare parte în mediul online, prin intermediul diferitelor site-uri ?i portale, nefiind afectate (pân? acum) de legisla?ia european? privind protec?ia datelor personale.

Probabil c? v-a?i confruntat de numeroase ori cu diverse solicit?ri cu caracter comercial, provenite de la persoane ce justific? de?inerea datelor dumneavoastr? cu caracter personal ca fiind preluate din baze de date publice. Sau poate a?i fost pu?i în situa?ia de a cump?ra chiar de la aceste societ??i p?r?i din aceste baze de date, pentru diverse activit??i de marketing. Crede?i c? doar pentru faptul ca ele provin din registre publice, avem voie sa le folosim asa cum vrem? Think again.

Ce s-a întâmplat?

In 26 martie 2019, Autoritatea de supraveghere a prelucr?rii datelor personale din Polonia (UODO) a amendat o companie poloneza cu suma de 200.000 euro pentru înc?lcarea obliga?iei de informare a persoanelor fizice vizate. Compania în cauza prelucra datele a peste 6 milioane de persoane, date colectate în majoritate din Registrul Electronic Central al Activit??ilor Economice din Polonia, echivalentul Registrului Comer?ului din Romania. Prin decizia de sanc?ionare, s-a re?inut în esen?? faptul ca, de?i acele informa?ii proveneau din surse publice, compania amendata le folosea pentru activit??i comerciale, fapt ce genereaz? obliga?iile prevazute de GDPR în sarcina operatorului de date personale.

Autoritatea a verificat nerespectarea obliga?iei de informare cu privire la persoanele fizice care desf??oar? activit??i economice. Aceste persoane sunt atât antreprenorii care desf??oar? în prezent o astfel de activitate, sau au suspendat-o, precum ?i antreprenorii care au desf??urat o astfel de activitate în trecut. Operatorul de date personale ?i-a îndeplinit obliga?ia de informare furnizând informa?iile cerute de art. 14 alin. (1) – (3) din GDPR numai în privin?a persoanelor ale c?ror adrese de e-mail le-a avut la dispozi?ie. În cazul celorlalte persoane, operatorul nu a respectat obliga?ia de informare – a?a cum s-a explicat în cursul investiga?iei – din cauza costurilor opera?ionale ridicate. Prin urmare, s-a rezumat la a prezenta o clauz? de informare numai pe site-ul s?u web.

Ce a generat amenda?

În cazul de fa??, compania a prelucrat, printre alte tipuri de date, ?i adresele po?tale ?i numerele de telefon ale persoanelor vizate. Prin urmare, compania ar fi putut respecta obliga?ia de a furniza informa?ii persoanelor ale c?ror date sunt prelucrate prin folosirea oric?rei modalit??i de contact. Compania ?i-a justificat nerespectarea obliga?iei de informare prin costurile dispropor?ionate generate de transmiterea prin post? a  unei inform?ri scrise c?tre toate persoanele vizate, îns? Autoritatea nu a luat în seam? aceste afirma?ii, motivând c? existau ?i alte modalit??i de aducere la îndeplinire a obliga?iei (n.r. prin telefon).

Importan?a acestei decizii de sanc?ionare este subliniat? ?i de modul în care s-a f?cut comunicarea public? a acesteia. Comitetul European pentru Protec?ia Datelor (EDPB) a publicat în mod direct comunicatul de pres? aferent, l?sând s? se întrevad? aplicabilitatea la nivelul întregii Uniuni Europene a concluziilor autorit??ii poloneze. 

Ce trebuie s? re?inem?

  • Indiferent de sursa datelor personale, folosirea lor în scopuri comerciale f?r? respectarea cerin?elor GDPR va duce la sanc?iuni din partea autorit??ilor competente;
  • Obliga?ia de informare prevazut? de articolul 14 GDPR, cunoscut? în practica drept informarea din sursa indirect?, trebuie îndeplinit? indiferent de costurile pe care aceasta le-ar putea genera;
  • Nu este suficient? o informare efectuat? exclusiv prin afi?area pe site-ul propriu, aceasta fiind practic doar o completare a inform?rii adresate individual fiec?rei persoane fizice vizate.

 

Textul complet al comunicatului de pres? (în limba englez?): https://edpb.europa.eu/news/national-news/2019/first-fine-imposed-president-personal-data-protection-office_en

Datele personale ?i marketingul intre companii

Se aplic? GDPR  în cazul activit??ilor de marketing între companii?

Da. GDPR se aplic? ori de câte ori prelucra?i date cu caracter personal. Aceasta înseamn? c?, dac? pute?i identifica o persoan? fizica fie direct, fie indirect, GDPR se va aplica – de?i ac?iona?i în calitate profesional?. De exemplu, dac? ave?i numele ?i num?rul unui contact de afaceri sau o adresa de e-mail de tipul nume.prenume@companie.com, se va aplica GDPR în privin?a acestor date personale. In schimb, GDPR se aplic? pentru c?r?ile de vizita care circula libere numai în m?sura în care inten?iona?i s? arhiva?i informa?iile con?inute sau s? introduce?i acele date într-un sistem informatic.

GDPR ne oblig? s? lu?m consim??mânt pentru marketing?

Nu întotdeauna. Consim??mântul este unul dintre temeiurile legale pentru prelucrarea datelor personale, dar exist? alternative. În special, poate fi folosit cu succes temeiul legal al interesului legitim al operatorului de date personale pentru a justifica o parte din marketingul de afaceri. Cu toate acestea, uneori ve?i avea nevoie de consim??mântul persoanei fizice vizate pentru a v? asigura c? respecta?i legisla?ia privind protec?ia vie?ii private în sectorul comunica?iilor electronice (Legea 506/2004). 

Când ne putem baza pe interesul legitim pentru marketing?

V? pute?i baza pe interesul legitim al activit??ilor de marketing în m?sura în care pute?i sa face?i dovada faptului c? modul în care folosi?i datele persoanelor fizice vizate este propor?ional cu scopul urm?rit, ca are un impact minim asupra vie?ii private a persoanelor fizice, iar destinatarii comunic?rilor în scop de marketing vor putea întotdeauna s? se opun? la aceste prelucr?ri de date în scopuri de marketing.

Care sunt regulile pentru email-uri sau SMS-uri de marketing?

Persoanele fizice având calitatea de comercian?ii  (PFA, II ?i IF), precum ?i anumite asocieri f?r? personalitate juridic?, sunt tratate de GDPR ca persoane fizice, astfel încât pute?i sa le trimite?i mesaje SMS sau e-mail fie dac? au consim?it în mod expres, fie dac? au cump?rat un produs similar în trecut ?i nu s-au opus la mesajele de marketing la acel moment. Trebuie s? include?i în corpul mesajului posibilitatea de oprire sau dezabonare.

Pute?i în schimb sa trimite?i comunic?ri de marketing prin e-mail sau SMS c?tre orice persoan? juridic? (societ??i, ONG-uri, etc), cu p?strarea dreptului acesteia de a v? solicita încetarea acestor transmisiuni. 

Care sunt regulile privind apelurile telefonice de marketing?

Pute?i apela orice persoana fizica sau juridica care fi v-a furnizat direct datele de contact în acest scop sau a consim?it în mod special la apelurile dvs. – de exemplu, bifând o c?su?? de înscriere. De asemenea, pute?i efectua apeluri telefonice c?tre orice num?r f?cut public, dar numai dac? acesta nu s-a opus apelurilor dvs. în trecut.

Normele privind apelurile telefonice automate sunt mai stricte. Nu trebuie s? efectua?i un apel de marketing automatizat – adic? un apel efectuat de un sistem de apelare automat? care red? un mesaj înregistrat – cu excep?ia cazului în care compania a consim?it în mod expres s? primeasc? acest tip de apel de la dvs. Consim??mântul general pentru marketing sau chiar consim??mântul pentru apelurile obi?nuite nu este suficient – trebuie s? acopere în mod specific apelurile automate.

Cum lu?m un consim??mânt?

Consim??mântul trebuie acordat în mod liber; acest lucru înseamn? a oferi persoanelor vizate o alegere real? în permanen?? ?i un control asupra modului în care le utiliza?i datele. Consim??mântul trebuie s? fie explicit ?i necesit? o ac?iune pozitiv? din partea persoanei vizate. Solicit?rile de aprobare trebuie s? fie clare, prezentate separat de alte informa?ii (de exemplu, nu în cadrul unor termeni ?i condi?ii), concise ?i u?or de în?eles ?i u?or de utilizat. Consim??mântul trebuie s? indice în mod specific numele operatorului, datele de  contact ale DPO-ului, scopul prelucr?rii ?i tipurile de activit??i de prelucrare.

Cel mai important, trebuie s? v? asigura?i c? persoanele vizate pot s?-?i retrag? consim??mântul oricând aleg s? fac? acest lucru.

Ce altceva ar trebui s? mai lu?m în considerare?

Trebuie s? comunica?i persoanelor vizate detalii despre ce anume face?i cu informa?iile pe care le de?ine?i. Acestea includ scopurile dvs. pentru prelucrarea datelor personale, temeiul legal de prelucrare, cât timp dori?i s? p?stra?i datele ?i cui or fi transmise datele personale. Obliga?ia operatorului de informare a persoanelor vizate se transpune într-un drept sine qua non al acestora din urm?, fiind expres reglementat? de articolul 13 GDPR ?i sanc?ionat? pentru neîndeplinire cu amenda maxim? prevazut? la articolul 83 alin. 5 GDPR.

Dac? v? baza?i pe interesul legitim pentru marketingul direct, dreptul persoanei de a se opune este absolut ?i trebuie s? opri?i prelucrarea atunci când cineva formuleaz? o opozi?ie. 

Dac? v? baza?i pe consim??mânt, nu exist? posibilitatea persoanei de a se opune ca atare, îns? aceasta are dreptul s?-?i retrag? consim??mântul în orice moment. Trebuie s? opri?i prelucrarea datelor atunci când cineva î?i retrage consim??mântul.

Infrac?iuni în sfera GDPR

Legisla?ia existent? în domeniul protec?iei datelor cu caracter personal, respectiv Regulamentul (UE) 2016/679 (GDPR), ?i Legea nr. 190/2018 privind m?suri de punere în aplicare a Regulamentului (UE) 2016/679, stabile?te sanc?iuni drastice ?i larg mediatizate, de pana la 20 milioane euro sau 4% din cifra globala anuala de afaceri a entit??ii care nu a ac?ionat conform prevederilor celor doua acte normative.

Scopul final al GDPR, preluat ?i de legea roman? 190/2018, este acela de a proteja viata privata a persoanelor fizice prin gestiunea eficienta ?i judicioasa a datelor cu caracter personal apar?inând acestor persoane fizice. In acest sens, sunt arhi-cunoscute deja principiile de baza ale confiden?ialit??ii, securit??ii ?i legitimit??ii prelucr?rilor de date cu caracter personal.

R?spunderea operatorilor de date personale

GDPR reglementeaz? în mare parte r?spunderea civil? ?i contraven?ional? a operatorilor de date personale care nu se conformeaz? principiilor ?i temeiurilor juridice de prelucrare a datelor. Cu toate acestea, în majoritatea cazurilor, faptele ce pot fi catalogate atât ca incidente de securitate conform GDPR sau legisla?iei securit??ii informatice reprezint? ?i infrac?iuni prevazute ?i sanc?ionate de Codul Penal roman în vigoare, pedepsele principale putând ajunge, în func?ie de gravitatea faptei, de pan? la 7 ani închisoare. Mai trebuie precizat ?i faptul c?, în cazul concursului de infrac?iuni, pedeapsa rezultant? poate dep??i cu mult pedeapsa maxim? aplicat? pentru cea mai grav? infrac?iune s?vâr?it?, aplicându-se un spor de o treime din pedeapsa cea mai grea.

Codul Penal

In Capitolul VI Cod Penal sunt prevazute urm?toarele infrac?iuni contra siguran?ei ?i integrit??ii sistemelor ?i datelor informatice:

Art. 360 – Accesul ilegal la un sistem informatic

(1) Accesul, f?r? drept, la un sistem informatic se pedepse?te cu închisoare de la 3 luni la 3 ani sau cu amend?.

(2) Fapta prev?zut? în alin. (1), s?vâr?it? în scopul ob?inerii de date informatice, se pedepse?te cu închisoarea de la 6 luni la 5 ani.

(3) Dac? fapta prev?zut? în alin. (1) a fost s?vâr?it? cu privire la un sistem informatic la care, prin intermediul unor proceduri, dispozitive sau programe specializate, accesul este restric?ionat sau interzis pentru anumite categorii de utilizatori, pedeapsa este închisoarea de la 2 la 7 ani.

Art. 361 – Interceptarea ilegal? a unei transmisii de date informatice

(1) Interceptarea, f?r? drept, a unei transmisii de date informatice care nu este public? ?i care este destinat? unui sistem informatic, provine dintr-un asemenea sistem sau se efectueaz? în cadrul unui sistem informatic se pedepse?te cu închisoarea de la unu la 5 ani.

(2) Cu aceea?i pedeaps? se sanc?ioneaz? ?i interceptarea, f?r? drept, a unei emisii electromagnetice provenite dintr-un sistem informatic, ce con?ine date informatice care nu sunt publice.

Art. 362 – Alterarea integrit??ii datelor informatice

Fapta de a modifica, ?terge sau deteriora date informatice ori de a restric?iona accesul la aceste date, f?r? drept, se pedepse?te cu închisoarea de la unu la 5 ani.

Art. 363 – Perturbarea func?ion?rii sistemelor informatice

Fapta de a perturba grav, f?r? drept, func?ionarea unui sistem informatic, prin introducerea, transmiterea, modificarea, ?tergerea sau deteriorarea datelor informatice sau prin restric?ionarea accesului la date informatice, se pedepse?te cu închisoarea de la 2 la 7 ani.

Art. 364 – Transferul neautorizat de date informatice

Transferul neautorizat de date dintr-un sistem informatic sau dintr-un mijloc de stocare a datelor informatice se pedepse?te cu închisoarea de la unu la 5 ani.

Art. 365 – Opera?iuni ilegale cu dispozitive sau programe informatice

(1) Fapta persoanei care, f?r? drept, produce, import?, distribuie sau pune la dispozi?ie sub orice form?:

a) dispozitive sau programe informatice concepute sau adaptate în scopul comiterii uneia dintre infrac?iunile prev?zute în art. 360-364;

b) parole, coduri de acces sau alte asemenea date informatice care permit accesul total sau par?ial la un sistem informatic, în scopul s?vâr?irii uneia dintre infrac?iunile prev?zute în art. 360-364,

se pedepse?te cu închisoare de la 6 luni la 3 ani sau cu amend?.

(2) De?inerea, f?r? drept, a unui dispozitiv, a unui program informatic, a unei parole, a unui cod de acces sau a altor date informatice dintre cele prev?zute în alin. (1), în scopul s?vâr?irii uneia dintre infrac?iunile prev?zute în art. 360-364, se pedepse?te cu închisoare de la 3 luni la 2 ani sau cu amend?.

Art. 366 – Sanc?ionarea tentativei

Tentativa la infrac?iunile prev?zute în prezentul capitol se pedepse?te.

In final, în leg?tur? cu infrac?iunile de mai sus, mai trebuie amintit ?i faptul c? pentru acestea sunt incidente ?i dispozi?iile art. 267 Cod Penal, conform c?ruia reprezint? infrac?iunea de omisiune a sesiz?rii organelor de cercetare penal? fapta func?ionarului public care, luând cuno?tin?? de s?vâr?irea unei fapte prev?zute de legea penal? în leg?tur? cu serviciul în cadrul c?ruia î?i îndepline?te sarcinile, omite sesizarea de îndat? a organelor de urm?rire penal?, pedepsit? cu închisoare de la 3 luni la 3 ani sau cu amend? penal?.

 

 

 

Primele amenzi pentru prelucrare ilegal? de date personale

Primele efecte tangibile ale noii legisla?ii europene în domeniul prelucr?rii datelor personale devin vizibile. Ast?zi, Autoritatea de supraveghere a prelucr?rilor de date personale din Marea Britanie (ICO) a amendat Facebook pentru c? nu a protejat datele personale ale utilizatorilor s?i ?i pentru c? le-a divulgat pentru motive politice.

fb gdpr

Sanc?iunea de ast?zi vine dup? ce, s?pt?mâna trecut?, autoritatea austriac? pentru protec?ia datelor a emis o amend? pentru înc?lcarea GDPR.

Autoritatea austriac? pentru protec?ia datelor (DSB) a emis prima amend? pentru nerespectarea GDPR. Este surprinz?tor pentru mul?i c? prin aceast? amend? nu a fost sanc?ionat? o companie important?, ci un mic antreprenor. Înc?lcarea? Compania în cauz? a instalat o camer? de supraveghere video (CCTV) în fa?a sediului s?u, îns? camera înregistra ?i o bun? parte din trotuar. Acest lucru a fost considerat de c?tre DSB ca o monitorizare pe scar? larg? a spa?iilor publice, ceea ce nu este permis în conformitate cu GDPR. În plus, camera nu era semnalizat? corespunz?tor, ceea ce înseamn? c? obliga?ia de transparen?? nu a fost îndeplinit?.

Amenda aplicat? a fost totu?i mic?, de numai 4.800 de euro. Motivul? DSB vizeaz? o anumit? propor?ionalitate, astfel încât o societate cu cifr? de afaceri de doar aproximativ 40.000 de euro pe an probabil nu va primi o amend? de 20 de milioane de euro.

Ast?zi, totu?i, amenda este emis? de ICO celei mai cunoscute companii, Facebook, ?i cuantumul ei dep??e?te cu mult pe cel al autorit??ii din Austria.

Faptul c? Facebook nu exceleaz? la capitolul de asigurare a securit??ii datelor personale ale utilizatorilor s?i este un fapt cunoscut, mai ales dup? scandalul Cambridge Analytica de anul acesta. Dup? deliber?ri îndelungate, ICO a emis o amend? pentru Facebook pentru divulgarea datelor personale ale utilizatorilor s?i din motive politice. Suma – 500.000 £ – este maximul care poate fi aplicat în acest caz conform legii na?ionale britanice.

Investiga?ia ICO, a constatat c?, între anii 2007 ?i 2014, Facebook a procesat datele personale ale utilizatorilor s?i într-o manier? inechitabil?, f?r? un consim??mânt valabil sau prin utilizarea unor practici netransparente. De exemplu, a permis ter?ilor accesul la datele persoanelor care nu au desc?rcat ?i folosit aplica?ia Facebook pentru mobil, pur ?i simplu pentru motivul c? ace?tia erau prieteni cu persoane care au instalat aplica?ia pentru mobil. De asemenea, s-a re?inut ?i faptul c? Facebook nu a reu?it s? p?streze datele personale securizate întrucât nu a verificat corespunz?tor ?i regulat aplica?ia sau platforma online în general. Toate acestea au fost urmate de celebrul scandal Cambridge Analytica, unde se estimeaz? c? pân? la un milion de utilizatori din Marea Britanie au  datele lor personale divulgate ?i utilizate f?r? drept.

Cu toate acestea, amenda nu a fost stabilit? conform prevederilor GDPR, deoarece cele mai multe înc?lc?ri au avut loc înainte de punerea sa în aplicare, sanc?iunea fiind întemeiat? pe dispozi?iile vechii legi britanice privind protec?ia datelor.

Referitor la sanc?iunea aplicat? Facebook, pre?edintele ICO (UK Information Commissioner), Elizabeth Denham a spus:

Am considerat c? aceste contraven?ii sunt atât de serioase încât am impus pedeapsa maxim? conform legisla?iei anterioare. În mod inevitabil, amenda ar fi fost semnificativ mai mare sub GDPR. Una dintre principalele noastre motiva?ii pentru a lua m?suri de sanc?ionare este de a aduce schimb?ri semnificative în modul în care organiza?iile manipuleaz? datele personale ale oamenilor. „
„Munca noastr? continu?. Mai sunt înc? întreb?ri mai mari de pus ?i dezbateri mai ample de ?inut despre modul în care interac?ioneaz? tehnologia ?i democra?ia, ?i despre cum sistemul juridic, etic ?i de reglementare în vigoare este adecvat pentru a proteja principiile pe care se bazeaz? societatea noastr? „.