GDPR, după primul an | Roxana Guiman, Partener PrivacyOne in alliance with Biriş Goran: Dacă o organizație ar fi un pacient, am recomanda mereu să începem de la un consult general, urmând ca pe baza rezultatelor preliminare să recomandăm mai multe analize și tratamente specializate

Într-un proiect de consultanță care vizează protecția datelor, cel mai dificil pentru avocați este să obțină toate informațiile necesare pentru redactarea documentelor specifice.  “Momentan există preconcepția că GDPR înseamnă să te blindezi cu „disclaimer-e” și proceduri, iar unele organizații asta așteaptă de la avocați. Dimpotrivă, un bun consultant trebuie să cunoască realmente activitatea clientului pentru a putea pregăti o documentație care să îndeplinească scopurile GDPR”, explică Roxana Guiman, Partener PrivacyOne in alliance with Biriş Goran.

Consultanța de protecția datelor trebuie oferită într-un mod integrat și multilateral pentru o organizație. În acest mod, proiectul este realizat cu succes. O astfel de abordare presupune o analiză în detaliu a activităților clientului și apoi recomandări de acțiuni punctuale. Este vorba despre implementarea de măsuri de minimizare a prelucrărilor; redactarea de proceduri interne, note de informare sau acorduri de prelucrare a datelor; realizarea de analize de impact (DPIA); completarea de registre privind operațiunile de prelucrare etc..

„Am observat că este, de cele mai multe ori, nefezabilă o solicitare care presupune doar asistență punctuală, pe o chestiune specifică ce ține de prelucrarea de date în cadrul unei organizații (de exemplu, cererea de redactare a unei note de informare sau a unei proceduri de gestionare a cererilor de acces). Pentru a putea pregăti chiar și un singur document, trebuie sa analizăm aproape întreg ecosistemul prelucrărilor de date ale clientului, trebuie să cunoaștem practic care este fluxul și cum sunt gestionate operațiunile companiei. Asta rezultă de obicei în identificarea unui număr mult mai mare de nevoi de compliance GDPR care afectează rezolvarea acelei solicitări punctuale. Cu alte cuvinte, dacă o organizație ar fi un pacient, am recomanda mereu să începem de la un consult general, urmând ca pe baza rezultatelor preliminare să recomandăm mai multe analize și tratamente specializate”, punctează Dana Ududec, Partener PrivacyOne in alliance with Biriş Goran.

---

Descoperă oportunitățile de recrutare de pe LegiTeam! GRATUIT.

---

Intrarea în vigoare a Regulamentului (UE) 2016/679 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date a adus o creștere semnificativă în activitatea firmei de avocatură. Astfel, anul trecut  a existat un aflux de activități de GDPR compliance, cele mai multe solicitări fiind în zona de analize gap și redactarea de proceduri și acorduri de prelucrare a datelor personale. Dar, pe măsură ce agitația legată de aplicarea regulamentului s-a diminuat, organizațiile au început să se preocupe de chestiuni punctuale, cum ar fi protecția datelor în legătură cu resursele umane, analizele de impact asupra protecției datelor, situații specifice de informare a persoanelor vizate,  organizarea de campanii de marketing sau de evenimente etc.

“Toate sectoarele de activitate au resimțit impactul aplicării GDPR. Clienții noștri aparțin unor industrii foarte diferite - FMCG, bancar, medical, marketing, telecom, IT, real estate, hoteluri și altele. Cea mai mare provocare – și asta e ceva ce ar trebui avut în vedere de toți consultanții din domeniul protecției datelor – este integrarea legislației sectoriale specifice unui domeniul de business cu regulile GDPR. Nu este niciodată suficient să știi doar legislația protecției datelor, ci consultanța valoroasă este cea care pune prelucrarea datelor personale în contextul de business concret al clientului. Din păcate vedem deseori ignorat acest aspect, ceea ce duce fie la recomandări imposibil de implementat în practică, fie la îngreunarea nejustificată a activității clienților (de multe ori cu clasica blamare a consultanților care pun piedici business-ului)”, declară Roxana Guiman.

Referindu-se la avalanșa de consultanți care au invadat piața odată cu noile norme GDPR, Dana Ududec atrage atenția că protecția datelor nu înseamnă „disclaimer-e” și munți de documente, ci schimbări la nivel de business și cultură organizațională – chestiuni care nu se rezolvă prin tipizate și kit-uri. “Un plan de conformare la cerințele GDPR implică o analiză detaliată a specificului organizației și a activităților acestora. Altfel, deși ai impresia ca bifezi niște obligații legale, nu faci decât să atingi superficial subiectul, fără impact real pe activitatea de prelucrare de date. Acest gen de abordare nu echivalează cu respectarea obligațiilor ce decurg din GDPR și nici nu diminuează riscul de sancțiuni sau încălcări. Cu alte cuvinte, noi nu credem în template-uri și în kit-uri”, arată avocatul.

Firma de avocatură se va focusa în continuare pe activitatea de protecția datelor. De altfel, cele două avocate sunt de părere că serviciile pe această zonă vor continua să crească pe viitor. Mai mult, deja se observă o „selecție naturală” în piață, iar consultanții fără o bază solidă încep să dispară, consolidându-se astfel practicile serioase și specializate pe acest domeniu.

Pe parcursul ultimului an, echipa de avocați a oferit servicii în legătură cu protecția datelor personale unui număr mare de societăți românești și străine, dintr-o gamă largă de domenii: FMCG, marketing, servicii medicale, domeniul bancar, telecom, IT, real estate, hoteluri și altele.

“Probabil cel mai dificil pentru noi a fost să refacem documentația redactată anterior de personal sau consultanți care nu au respectat standardele profesionale pe zona de protecție a datelor. În aceste situații trebuie să convingi clienții să înceapă sau să reia procesul de colectare de informații despre prelucrarea datelor personal în organizație, chestiune care pune la încercare răbdarea tuturor celor implicați. Cu alte cuvinte, neadaptarea recomandărilor de implementare a cerințelor GDPR la realitatea de business a clientului creează situații de blocaj în activitatea companiilor și am primit deseori solicitări pentru a „repara” situații create de recomandări defectuoase”, precizează Dana Ududec.

Proiect unic în România

PrivacyOne (GUIMAN UDUDEC SCA) este o societate de avocați specializată în domeniul protecției datelor cu caracter personal, fiind un proiect unic în România, ce oferă clienților săi cel mai înalt standard de servicii de consultantă juridică privind acest domeniu, fiind format de o echipă de avocați cu experiență semnificativă în practica de protecția datelor. În anul 2018 PrivacyOne a încheiat, în calitate de consultant specializat, un parteneriat cu Biriș Goran SPARL, în vederea asigurării unor servicii juridice integrate clienților.

În cadrul echipei, Dana Ududec este Certified International Privacy Professional – Europe (CIPP/E), certificare oferită de International Association of Privacy Professionals (IAPP). Trebuie menționat că Data Protection Officer (DPO) este doar o funcție în cadrul organizației, reglementată de GDPR, pentru care nu este obligatorie o certificare anume.

“Societatea noastră de avocați se concentrează exclusiv pe protecția datelor, precum și pe aspecte ce țin de proprietatea intelectuală. Prin intermediul parteneriatului cu Biriș Goran SPARL asigurăm clienților servicii juridice integrate, cu consultanță specializată pe acest domeniu”, subliniază Roxana Guiman.

„Conformitatea de partea de protecția datelor este o activitate continuă – câtă vreme o organizație prelucrează date personale, trebuie să se asigure că orice noi activități respectă legislația și că activitățile existente continuă să se desfășoare în parametri legali”, completează Dana Ududec.




Intră pe LadyLawyer.ro și află mai multe despre activitatea, preocupările și proiectele doamnelor avocat din cele mai importante firme de pe piața locală.