Autor: Tudor Galoș

Suntem în 2023 și încă aud manageri spunând că firmele pe care le conduc “și-au făcut GDPR-ul” – adică au completat niște documente sau au pus un consultant să le ofere niște documente. Documente care ar face aceste firme “pe deplin conforme” cu GDPR (sugestie – niciodată nu ai cum să fii “pe deplin” conform cu GDPR, dintr-un număr infinit de motive).

Puține companii acordă atenție unuia dintre primii pași ce trebuie făcuți pentru conformitatea unei prelucrări de date cu caracter personal: auditarea operațiunii de prelucrare prin identificarea tuturor etapelor de prelucrare și analizarea fiecărei etape din punct de vedere al necesității, proporționalității, scopului, păstrării datelor, securității etc. Acesta este motivul pentru care, de obicei, companiile au nevoie de companii de consultanță cu experiență în auditarea operațiunilor de prelucrare a datelor cu caracter personal, deoarece acestea tind să ignore pașii care par evidenți (și, din păcate, aici se ascunde diavolul).

Să luăm un exemplu: abonarea și livrarea newsletter-ului. De obicei, veți găsi câteva detalii despre serviciul de newsletter furnizat de un site web, undeva în notificarea de confidențialitate, unde ar putea fi menționată și o terță parte, cum ar fi Mailchimp. Și cam aici se termină totul. Dar prelucrarea newsletter-ului ar putea fi una destul de complexă, așa că haideți să-i analizăm anatomia, în pași.

Pasul 1: Colectarea datelor

• Categorii de date personale vizibile colectate: adresa de email (obligatoriu), nume (opțional), prenume (opțional), interese (opțional), altele. Folosind principiul minimizării datelor, doar adresa de e-mail este necesară pentru prelucrare, celelalte sunt “nice to have”.

• Categorii de date personale invi-zibile colectate: adresa IP, tipul dispozitivului, versiunea browserului, dimensiunea ecranului, marcajul temporal etc.

• Scopurile prelucrării: abonarea la un buletin informativ, înregistrarea consimțământului primit într-un tabel (adresa IP, marcă temporală, tip dispozitiv, versiune browser etc.).

Pasul 2: Încărcarea datelor

• Datele cu caracter personal sunt încărcate de pe site-ul web către serviciul de newsletter utilizat.

• Categorii de date cu caracter personal vizibile partajate: adresa de e-mail (obligatoriu), numele (opțional), prenumele (opțional), interesele (opțional).

• Categorii de date personale invizibile generate: nume de utilizator pseudonimizat, metadate.

• Scopurile prelucrării: actualizarea bazei de date a newsletter-ului în vederea pregătirii pentru validarea și livrarea acestuia.

Pasul 3: Validarea datelor

• Un e-mail de confirmare este trimis de furnizorul de servicii de newsletter la fiecare adresă de e-mail abonată.

• Categorii de date cu caracter personal vizibile utilizate în prelucrare: adresa de e-mail (obligatoriu), nume (opțional), prenume (opțional), interese (opțional), link unic de confirmare (obligatoriu).

• Categorii de date personale invizibile utilizate în procesare: confirmarea livrării, marcajul temporal al livrării, confirmarea deschiderii newsletter-ului, marcajul temporal al deschiderii newsletter-ului, evenimentul de click pe link, marcajul temporal al click-ului pe link.

• Scopul prelucrării: validarea adresei de e-mail abonate.

Pasul 4: Backup-ul datelor

• Listele de e-mail (și consimțămintele) ar trebui să aibă copii de rezervă, ca măsură tehnică/organizațională necesară pentru protejarea datelor.

• Categorii de date cu caracter personal prelucrate: toate.

• Scopul prelucrării: asigurarea rezilien-ței datelor personale.

• Aici trebuie să clarificăm ce ne facem dacă de exemplu un abonat s-a dezabonat, avem un incident de securitate și restaurăm din back-up baza de date în care abonatul continuă să apară?

Pasul 5: Livrarea newsletter-ului

• Newsletter-ul este livrat de serviciul de newslettere.

• Categorii de date cu caracter personal vizibile utilizate în prelucrare: adresa de email (obligatoriu), link-uri unice (opțional), rata de livrare, rata de deschidere, rata de click.

• Categorii de date personale invizibile utilizate în procesare: confirmarea livrării, marcajul temporal al livrării, confirmarea deschiderii newsletter-ului, marcajul temporal al deschiderii newsletter-ului, evenimentul de click pe link, marcajul temporal al click-ului pe link (pentru fiecare link).

• Scopul prelucrării: livrarea newsletter-ului, analiza performanței newsletter-ului.

Pasul 6: Dezabonare prin e-mail

• Gestionarea solicitărilor de dezabonare.

• Categorii de date cu caracter personal vizibile utilizate în prelucrare: adresa de e-mail (obligatoriu), link-ul unic de dezabonare (obligatoriu).

• Categorii de date cu caracter personal invizibile utilizate în prelucrare: marcă temporală dezabonare.

• Scopul prelucrării: exercitarea drepturilor persoanelor vizate.

Pasul 7: Revalidarea abonamentului la newsletter

• După un anumit timp (3 – 5 ani), abonatul la newsletter trebuie întrebat dacă dorește să continue abonamentul.

• Categorii vizibile de date cu caracter personal utilizate în prelucrare: adresa de email
(obligatoriu), link unic de reconfirmare
(obligatoriu).

• Categorii de date cu caracter personal invizibile utilizate în procesare: marca temporală a reconfirmării.

• Scopul prelucrării: reconfirmarea abonamentului.

Pasul 8: Ștergerea datelor

• Toate categoriile de date cu caracter personal trebuie să aibă termene specifice de distrugere.

• E-mailuri: se șterg la cererea de dezabonare / invalidare a abonamentului.

• Consimțământ: se șterge la cererea de dezabonare/invalidare abonament PLUS numărul de ani necesar demonstrării în instanță că prelucrarea s-a făcut conform legii (arhivarea se întemeiază pe interesul legitim in acest caz).

• Jurnale și metadate: analizarea orizontului de timpul în care intenționăm să păstrăm jurnalele și metadatele și de ce. (stocarea este prelucrarea datelor cu caracter personal).

Deci, o simplă livrare a buletinului informativ devine o operațiune complexă odată ce începem să o analizăm. Și asta trebuie să facem cu toate operațiunile de prelucrare a datelor cu caracter personal, ar trebui să le disecăm pentru a înțelege ce se întâmplă, când, ce date sunt generate, cât timp sunt păstrate, cu cine sunt partajate și așa mai departe. Și trebuie să ne întrebăm mereu “DE CE?”. “De ce colectăm aceste categorii de date cu caracter personal?”; “Ce facem cu ele?”; “De ce le ținem atât de mult timp?”.

Din păcate proiectele de conformare la GDPR și la orice alte regulamente de protecție a datelor personale au fost bagatelizate de mulți consultanți, efectele fiind negative pentru firme: multiple amenzi GDPR, prelucrări oprite de către autorități, baze de date șterse, atacuri cibernetice reușite, business-uri închise.

Cum alegi consultantul corect care să conducă un proiect de conformare la GDPR? În primul rând consultantul trebuie să îți explice pașii proiectului și să demonstreze faptul că investiția merită, explicând de unde vin reducerile de costuri și îmbunătățirea veniturilor și a valorii organizației ca urmare a unui astfel de proiect implementat corect.

Noi, la Tudor Galoș Consulting, încercăm ca prin prisma experienței de lucru cu peste 200 de clienți din multiple domenii din Europa, Marea Britanie, Statele Unite și Orient, să aduce best practice-uri testate și să facem implementări de proiecte de conformitate la GDPR care să aducă beneficii imediate (atât prin prisma creșterii valorii business-ului în fața investitorilor, a acționarilor, a posibililor cumpărători dar și a clienților și a partenerilor, cât și prin prisma simplificării operațiunilor de business). Suntem prezenți la numeroase evenimente interne și internaționale, ca speakeri, unde livrăm prezentări inovative dar de unde și culegem best practice-uri și abordări inovative pe care le putem aduce la clienții noștri.

Pentru mai multe detalii, contactați-ne la contact@tudorgalos.ro sau pe site-ul nostru, la www.tudorgalos.ro q