Cristiana Deca,
fondator&CEO Decalex
Grupul de companii Meta, care deține platformele Facebook și Instagram, a fost amendat cu 390 milioane euro, la începutul acestui an, pentru încălcări grave ale prevederilor GDPR. Pe lângă amenda de 400 de milioane de euro aplicată acum, la finalul anului trecut a rămas definitivă și amenda de 225 de milioane pe care a primit-o pentru Whatsapp, tot pe motive de confidențialitate și securitate a datelor.
De asemenea, tot în luna, ianuarie a acestui an, Whatsap, care este parte a grupului Meta, a mai primit o amendă de cinci milioane de euro tot pe motive de GDPR. Tot atunci a fost amendată și rețeaua de socializare Tik Tok, pe motiv că nu respectă standardele de GDPR impuse prin legislația internațională.
La fel, compania Apple, tot ianuarie acest an, s-a trezit cu o amendă de 8 milioane de euro, pentru același motiv: nerespectare a regulilor de protecție a datelor și confidențialitatea acestora.
Ce reținem din amenzile aplicate? Dacă prelucrează date personale în baza consimțământului oferit de persoanele în cauză, companiile în cauză trebuie să se asigure că acesta este obținut în conformitate cu prevederile GDPR, adică liber exprimat, informat, specific și neechivoc. În acest sens, se analizează întotdeauna dacă respectiva companie are sau nu o poziție dominantă pe piața în care activează și dacă în acest context poate constrânge utilizatorul în a agrea termeni comerciali abuzivi. De exemplu, în cazul amenzii în valoare de opt milioane euro aplicate companiei Apple s-a constatat că aceasta a încălcat normele GDPR pentru că nu a solicitat și nu a obținut consimțământul utilizatorilor de iPhone pentru publicitatea personalizată.
Informarea corectă și completă a utilizatorilor despre datele pe care le colectează și despre cum acestea vor fi prelucrate în baza relației comerciale, este un aspect care a stat la baza amenzii aplicate Whatsapp pentru lipsa de transparență în ceea ce privește dezvăluirea către utilizatori a modului în care au fost prelucrate datele lor.
Publicitatea online targetată și partajarea datelor cu caracter personal în acest scop nu sunt considerate prelucrări de date necesare pentru încheierea contractului între părți, respectiv furnizarea de servicii sau bunuri solicitate de un consumator. În cazul Facebook, de exemplu, s-a constatat că scopul pentru care utilizatorii își crează un cont în rețelele de socializare este pentru a comunica cu alți utilizatori, nicidecum pentru a primi reclame personalizate.
Important de știut, pentru companiile care pun la dispoziția consumatorilor aplicații online sau platforme, este cum se pot feri de amenzi și care sunt măsurile minime și obligatorii pe care trebuie să le adopte?
Vorbim despre trei acțiuni obligatorii pentru a evita riscul de sancțiuni pentru neconformare, astfel:
- să se asigure că prevederile GDPR sunt înglobate în soluția de la momentul conceperii acesteia.
- să se asigure că respectă drepturile utilizatorilor prin construirea unor canale facile de exercitare a acestora, care prin designul și modul în care sunt puse la dispoziție nu descurajeazi utilizatorul din exercitarea drepturilor. De exemplu, funcții ascunse în sub-meniuri, care fac dificilă pentru utilizator navigarea până să ajungă la funcția în sine pe care o caută spre accesare.
- să nu colecteze date personale ce vor fi folosite pentru campanii de publicitate comportamentală fară acordul expres al utilizatorului sau fără a se asigura că au un interes legitim ce poate fi justificat în conformitate cu prevederile legale.
Rațiunile sancțiunilor impuse de autoritățile de supraveghere pot fi împărțite în câteva categorii:
- Informații privind cookie-urile – companiile trebuie să ofere informații clare și complete cu privire la modul de gestionare al cookie-urilor.
- Modul de gestionare al acceptării/ refuzării cookie-urilor – website-urile trebuie să ofere posibilitatea refuzării sau acceptării cookie-urilor în mod deschis și egal, utilizarea de dark patterns în gestionarea cookie-urilor este interzisă.
- Utilizarea temeiurilor de prelucrare conforme – temeiurile de prelucrare a datelor personale ce se regăsesc în Regulamentul GDPR la articolul 6, ”Legalitatea prelucrării”, sunt piloni de bază ai unei prelucrări conforme, iar utilizarea lor trebuie să aibă în vedere realitatea faptică, adică să fie menționate în mod transparent și real, nu utilizate că justificări precare și neverosimile ale unor prelucrări.
- Transparența în ceea ce privește temeiurile de prelucrare a datelor personale – instrumentalizarea abuzivă a temeiurilor de prelucrare creează probleme ulterioare în informările ce trebuie făcute către persoanele vizate conform articolelor 12 și următoarele, pot apărea discrepanțe sau zone gri în detalierea prelucrărilor efectuate, dacă aceasta nu urmărește firul coerent al prelucrărilor reale.
Atenția la detalii GDPR a depășit deja nivelul de la începuturile legiferării domeniului, devenind din ce în ce mai important, astfel că autoritățile verifică din ce în ce mai mult respectarea normelor și conformarea de către companii. Ofițerul responsabil cu protecția datelor din companie este obligat să urmărească și conformarea acesteia la norme și să sesizeze, spre a fi corectate, eventualele nerespectări sau derapaje.
Absolventă a Facultății de Drept a Universității București, cu masterat în Drept European, și în Design Thinking la M.I.T, Cristiana a fondat, în urmă cu 12 ani, împreună cu alți doi parteneri, prima companie sută la sută românească specializată pe servicii de conformitate în domeniul protecției datelor, Decalex.
Pasionată în special de zona care intersectează drepturile fundamentale ale omului cu evoluția tehnologiei, a obținut certificarea internațională a celei mai prestigioase organizații în domeniul prelucrării datelor, IAPP, ca expert în legislația europeană din domeniul protecției datelor cu caracter personal (CIPP/E).
În calitate de cofondator al Asociației de Profesioniști în Domeniul Protecției Datelor din România (ASCPD), în perioada 2019-2022, a reprezentat România în Confederația Europeană a Asociațiilor de Profesioniști în Domeniul Protecției Datelor. În urmă cu doi ani (2021) a fost desemnată membru în board și în Consiliul de Conformitate și Etică al organizației EIT Health, fiind invitată frecvent ca speaker la conferințe internaționale din zona de privacy si cybersecurity.Spiritul întreprinzător, în permanentă căutare a celor mai noi inițiative din zona GDPR și cybersecurity, căruia i se adaugă firea analitică, optimistă și deschisă spre inovație, Cristiana Deca este partenerul care aduce mereu ideile noi în atenția partenerilor și a echipei de lucru.
Pionier în domeniul GDPR, compania Decalex, fondată în anul 2011 de către Cristian Deca, este după 12 ani de activitate un nume de referință pe domeniul serviciilor de conformitate în protecția datelor, cybersecurity, audit și consultanță de business. Compania urmează să lanseze prima aplicație digitală din România destinată angajaților și companiilor, care va pune la dispoziția utilizatorilor, intuitiv și complet, toate resursele de care au nevoie pentru respectarea prevederilor GDPR.
