GDPR: Autoritățile pot obliga firmele inclusiv să-și instruiască salariații proprii. Alte exemple de măsuri corective

Măsurile corective sunt permise de Regulamentul general privind protecția datelor (GDPR) și ele sunt un instrument foarte puternic pentru autoritățile de protecție a datelor, în sensul că, pe lângă sancțiunea amenzii, ele permit implementarea unor schimbări concrete.

Astfel, se asigură o mai bună conformare cu GDPR-ul, mai ales când se ia în considerare poziția și experiența ANSPDCP, care poate impune măsuri corective ce ar putea avea, cu adevărat, un impact pozitiv în ceea ce privește protecția datelor personale.

După cum spuneam și mai sus, ANSPDCP s-a folosit recent de aceste puteri. În paralel cu sancționarea unei companii pentru încălcarea GDPR, ANSPDCP a mai dispus și „măsura corectivă de a asigura conformitatea cu [GDPR] a operațiunilor de colectare și prelucrare ulterioară a datelor personale, prin implementarea unor proceduri eficiente de identificare a persoanelor, care să prevină prelucrarea ilegală a datelor personale și dezvăluirea lor neautorizată, atât de către angajații/colaboratorii [companiei sancționate], cât și de către persoanele împuternicite și angajații/colaboratorii acestora, precum și instruirea regulată a acestora și verificarea periodică a respectării instrucțiunilor date”.

După cum am arătat și cu altă ocazie, măsurile corective pe care le poate dispune ANSPDCP sunt foarte variate, deci îi permite Autorității o flexibilitate în aplicarea lor, în funcție de situația concretă investigată. În ultima parte a anului 2019, de exemplu, ANSPDCP a publicat o listă cu tipurile de măsuri corective dispuse de-a lungul mai multor luni, până cu puțin timp înainte de publicarea listei. Printre măsurile corective cel mai des aplicate , în acea perioadă, se numărau:

• adoptarea unor măsuri tehnice și organizatorice adecvate pentru a se evita situații contrare legislației privind protecția datelor (de exemplu, prelucrare inexactă de date);
• comunicarea răspunsurilor persoanelor vizate de datele deținute de o companie, în contextul în care aceste persoane solicitau, de exemplu, să li se spună ce date deținea firma căreia îi era adresată solicitarea (sau să li se șteargă datele deținute de către firma căreia i s-a înaintat solicitarea);
• asigurarea faptului că sunt luate măsuri pentru garantarea securității conturilor pe care clienții unei firme le au pe site-ul acesteia;
• aplicarea unei evaluări de risc, atunci când urmează să facă prelucrări de date;
• firmelor li se mai poate cere să implementeze și să îi comunice ANSPDCP o procedură ce urmează să fie folosită pentru exercitarea concretă a drepturilor persoanelor vizate de datele deținute/prelucrate;
• informarea persoanele supravegheate video de acest lucru (inclusiv prin folosirea unor pictograme standardizate).

După cum se poate vedea, ANSPDCP are la dispoziție un instrument foarte flexibil pentru a asigura conformarea celor ce prelucrează date cu legislația din domeniu. Cum spuneam și mai sus, poziția Autorității este unică, din cauza pregătirii personalului și a experienței sale. Astfel, dacă folosește măsurile corective într-un mod eficient, va crea și un cadru în care informații relevante pentru respectarea legislației privind protecția datelor pot să fie diseminate mai ușor.