ZRP
Tuca Zbarcea & Asociatii

Should the controller reassess the relationship with its processor in the context of this new pandemic?

07 Aprilie 2020   |   Cristina Crețu, Senior Privacy & Technology Consultant - Maravela, Popescu & Roman

We live in a new era, where the risks are multiplying and endanger the security and integrity of data.

Cristina Cretu, Senior Privacy & Technology Consultant - Maravela, Popescu & Roman

 
 


Pursuant to Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (“General Data Protection Regulation”), controllers must only use processors that provide sufficient guarantees regarding their capability to implement appropriate technical and organizational measures to ensure that all processing activities are performed and protected in line with the legal requirements.

In this respect, before engaging the services of a processor, the controller must perform a proper assessment of the processor’s capabilities to process the entrusted personal data in a secure and confidential manner, in accordance with the provisions of the General Data Protection Regulation.

The duty of care that needs to be observed by the processor must be reflected into a contract concluded with the controller. Such contract must stipulate that the processor will take all technical and organizational measures to ensure a level of security in accordance with the risk, including inter alia as appropriate:

(i)            the ability to ensure the ongoing confidentiality, integrity, availability and resilience of processing systems and services;

(ii)          the ability to restore the availability and access to personal data in a timely manner in the event of a physical or technical incident;

(iii)        a process for regularly testing, assessing and evaluating the effectiveness of technical and organizational measures for ensuring the security of the processing.


2.                   Times are changing, should the processors be reassessed?

Due to the new severe acute respiratory syndrome coronavirus 2, known as SARS-CoV-2, emergency measures were taken throughout the world in order to contain the spread of and fight against the effects of SARS-CoV-2. One of those measures was for the companies, where possible, to send their employees to work from home.

Does this new scenario change the controller’s initial assessment on the processor’s ability to ensure the technical and organizational measures in relation with the processing of personal data?

The answer is yes, if the controller considered only the capabilities offered by the processor within its premises. It is possible that most controllers did not took into account the processor’s readiness to ensure the secure processing of personal data via remote access by employees working from home. From a security perspective, any remote access to data might present a risk that needs to be properly addressed.

The EU Agency for Cybersecurity (“ENISA”), the National Cyber Security and Incident Response Teams (“CERTs”) and the national Data Protection Authorities (“DPAs”) are all advising on the need to maintain an adequate level of cybersecurity when working from home and recommend companies to take measures such as:

(i)            to ensure that the corporate VPN solution scales and is able to sustain a large number of simultaneous connections;

(ii)          to provide secure video conferencing for corporate clients;

(iii)        all the corporate business applications must be accessible only via encrypted communication channels;

(iv)        access to application portals should be safeguarded using multifactor authentication mechanisms.

These recommendations were issued not just because there is an increase in the number of people that are working and having access to systems remotely, but also because in this state of emergency the number of cyber-attacks, such as denial-of-service (DoS) and distributed denial-of-service (DDoS) attacks, man-in-the-middle (MitM) attack, phishing and spear phishing attacks, drive-by attack, password attack, intensified. Both situations can result in an increase number of security incidents, from which a lot of such might prove be data breaches.

In this context, it is evident that, from a security perspective, we operate in a scenario, that is different than the one took into account by the controller when selecting the processor. The initial assessment of the risks presented by the data processing, such as accidental and unlawful destruction, loss, unauthorized disclosure of data, translated into security measures meant to mitigate the respective risks. But now the scenario is different, and the risks presented by the data processing in the new environment (working from home) might require different security measures in order to mitigate the such.

In this respect, the controllers should perform at least an assessment on the security measures in place and if such measures are enough to ensure that their processors are still fit to handle the entrusted personal data.

3.                   Conclusion

We live in a new era, where the risks are multiplying and endanger the security and integrity of data. It is important to pay attention to each and every change that might have an impact on the relationship the companies developed with their processors. This might be just one of the problems that might occur. Data protection should not be treated lightly in these times, because the consequences of the events occurring in relation with personal data can affect the companies on a long term.
 
 

PNSA

 
 

ARTICOLE PE ACEEASI TEMA

ARTICOLE DE ACELASI AUTOR


     

    Ascunde Reclama
     
     

    POSTEAZA UN COMENTARIU


    Nume *
    Email (nu va fi publicat) *
    Comentariu *
    Cod de securitate*







    * campuri obligatorii


    Articol 3944 / 4240
     

    Ascunde Reclama
     
    BREAKING NEWS
    ESENTIAL
    De vorbă cu Anne Marie Mateeas, Country Legal Head Novartis, profesionistul pentru care integritatea reprezintă valoarea fundamentală, despre profesia juridică, experiențele acumulate și provocările abordate | “În sfera carierei mele, dezvoltarea unor valori precum respectul profund pentru lege, promovarea transparenței și adoptarea unei abordări centrate pe identificarea și implementarea de soluții eficiente sunt aspecte esențiale care îmi ghidează fiecare decizie și acțiune. Chiar și momentele dificile sau deciziile care s-au dovedit a fi mai puțin potrivite au avut un impact valoros, învățându-mă lecții esențiale”
    NNDKP obține poziții de top în clasamentele The Legal 500 EMEA 2024
    CMS asistă PPC în achiziția unui parc eolian operațional de 84 MW în România. Mircea Moraru (Corporate M&A) a coordonat echipa, cu sprijinul lui Horea Popescu (Corporate M&A)
    Vlad Peligrad s-a desprins din asocierea cu KPMG Legal, unde era partener și lansează o firmă proiectată să asigure întreg spectrul de servicii juridice | Vlad Peligrad, Managing Partner & Founder PeligradLaw: ”Suntem la început, în procesul de formare a echipei. Până la sfârșitul anului firma va avea 8-10 avocați”
    LegiTeam: Experienced Lawyer Employment | Reff & Associates
    Noi Avocați Colaboratori Seniori în cadrul PNSA. Andra Vieriu și Maria Dima fac un pas înainte în carieră
    Stratulat Albulescu obține în prima instanță amendarea Primarului General al Municipiului București pentru neexecutarea unei hotărâri judecătorești definitive. Partenerul Adriana Dobre a coordonat echipa care a obținut una dintre primele decizii judecătorești de acest fel: amendă de 20% din salariul minim brut pe economie pe zi de întârziere, la care se adaugă penalități de 500 lei ̸ zi de întârziere
    Rundă amplă de promovări în mai multe arii de practică din cadrul biroului Kinstellar din București. Opt avocați au făcut un pas înainte în carieră | Victor Constantinescu (Managing Partner): ”Recunoaștem în mod oficial contribuțiile colegilor prin aceste promovări. Împărtășesc valorile pe care le avem, s-au dovedit a fi membri de valoare pentru echipa locală și așteptăm cu nerăbdare să îi vedem acumulând noi realizări”
    Studiul CMS European M&A 2024 | Piața de fuziuni și achiziții s-a dovedit rezistentă în 2023, CMS acordând consultanță într-un număr record de tranzacții. Horea Popescu, coordonator al practicii Corporate M&A în CEE și Managing Partner al CMS România: “În ciuda unui context plin de provocări, CMS a oferit consultanță în 68 de tranzacții de fuziuni și achiziții în regiune, dintre care peste 50% au fost determinate de intrarea unor investitori strategici pe noi piețe, demonstrând soliditatea practicii noastre în întreaga regiune”
    Stratulat Albulescu & Asociații estimează pentru anul 2024 un nivel de activitate, în practica de Real Estate, cel puțin egal cu cel de anul trecut, marcat însă de o anumită expectativă din partea dezvoltatorilor, prudența fiind cuvântul cheie auzit cel mai frecvent de la clienți. Vor exista însă și ferestre de oportunitate care în mod cert vor fi accesate de jucătorii cu un apetit crescut la risc | “Cel mai probabil vom asista, în cursul acestui an, la o deblocare a situației și la o creștere a numărului de tranzacții, chiar și timidă”, spun avocații
    O soluție reper a ÎCCJ obținută de D&B David și Baias clarifică modalitatea de calcul a cifrei de afaceri la care se aplică amenzile Consiliului Concurenței
    Creștere de doi digiți, anul trecut, pentru Milcev Burbea, firmă recunoscută de ghidurile juridice internaționale pentru practica de proprietate intelectuală | Despre mandatele provocatoare și numeroasele proiecte cu grad ridicat de complexitate, într-o discuție cu Gabriela Milcev (Managing Partner): ”Forța biroului nostru constă într-o abordare echilibrată, croită pe nevoile cazului, combinând, ca într-o rețetă care nu este niciodată aceeași, consultanța și litigiul, precum și persoanele și abordările potrivite pentru apărarea intereselor clientului. Adesea ne confruntăm cu necesitatea de a opera în alte jurisdicții, la nivel internațional”
     
    Citeste pe SeeNews Digital Network
    • BizBanker

    • BizLeader

        in curand...
    • SeeNews

      in curand...