Andreea Lisievici lansează PrivacyCraft: O soluție pragmatică pentru specialiștii în protecția datelor

Inspirația din spatele creării The Privacy Manager Club a venit din propria mea experiență. Când am trecut de la a fi avocat extern la gestionarea in-house a unui program global de privacy, am realizat că, deși aveam o cunoaștere profundă a legii și chiar predam aceste aspecte, aplicarea lor în practică, dincolo de conformitatea teoretică, și construirea unei culturi de privacy erau extrem de dificile. Mi-a fost greu pentru ca nu existau cursuri sau cărți care să abordeze aceste provocări și aveam puține persoane cu care să discut despre soluții practice.

Asta m-a determinat să creez un program complet, care să ofere atat un curs practic, o comunitate de colegi cu care să poți împărtăși experiențe, dar si suportul meu săptămânal. The Privacy Manager Club este exact acel tip de program pe care mi-aș fi dorit să-l eu am când m-am confruntat cu aceste provocări. Este conceput pentru a-i ajuta pe profesioniști să depășească dificultățile practice și să construiască programe eficiente de privacy.

As spune ca acum dificultatea cea mai mare este avalansa de legi noi de protectie a datelor in tot mai multe tari, pentru ca daca organizatia nu are activitate intr-o singura tara sau doar in UE, este foarte probabil ca mai multe legi sa fie aplicabile simultan. Drept urmare, o necesitate clara este abilitatea de a construi un program de conformitate suficient de elastic pentru a incorpora cerinte noi sau suplimentare, fara a fi necesara refacerea intregii munci de fiecare data.

Cursul din cadrul Privacy Manager Club are la baza exact ideea asta – anume ca programul nu poate fi nici singular (fara sa tina seama de particularitati) si nici complet separat pe legi aplicabile (fara sa tina seama de aspecte care pot fi administrate in comun, precum si aspecte care trebuie administrate in acelasi timp sub mai multe legi). Am pus laolalta extrem de multa informatie pentru a oferi o baza solida de la care cursantii sa poata crea sau ajusta singuri programele de conformitate in care sunt implicati.

O alta provocare deloc de neglijat este situatia cand exista un singur specialist in protectia datelor intr-o organizatie, sau chiar daca sunt mai multi niciunul nu este suficient de experimentat incat sa ii mentoreze pe ceilalti. Invatarea din greselile proprii este mult mai putin eficienta decat invatarea impreuna cu altii si schimbarea ideilor. Din acest motiv am pus un accent mare exact pe componenta de group coaching si comunitate, care ii aduc impreuna pe participanti si le ofera atat un grup de discutii cat si experienta mea proprie si ghidajul meu.

Avand in vedere ca tot programul pleaca de la experienta mea si de la ce am avut eu nevoie si n-am gasit, am pus inclusiv în cadrul cursului foarte multe aspecte practice. Chiar daca explic pe larg teoria din spate, intotdeauna temele sunt duse la finalitatea lor practica – cum faci, ce trebuie sa ai in vedere, ce metodologii poti folosi. In cadrul sesiunilor de coaching este si mai simplu, pentru ca discutiile urmeaza intrebarile participantilor, si atunci discutam situatiile cu care ei chiar se intalnesc. Iar in cadrul comunitatii exista forum de discutii in care participantii discuta intre ei si asa beneficiaza de experienta tuturor in comun. Nimeni nu s-a intalnit cu absolut toate situatiile si a rezolvat toate problemele, dar cand sunt mai multi sansele sunt mai mari. „Better together” nu e doar un cliseu.

Prima idee pe care am avut-o a fost sa creez „doar” un curs, chestiunea cea mai tangibila in ce observasem ca mi-a lipsit mie. Insa pe masura ce m-am gandit tot mai mult la nevoile pe care le au potentialii participanti, mi-am dat seama ca doar cursul risca sa fie insuficient – mai ales ca este asincron pe o platforma online asa incat nu exista intrebari si raspunsuri. A fost chiar amuzant pentru ca deja faceam coaching individual de cativa ani si cand mi-am intrebat clientii despre ideea asta raspunsul a fost foarte clar – cu totii isi doreau un grup de discutii in care sa faca brainstorming controlat. In plus, comunitatea si sesiunile de coaching sunt in controlul participantilor – chiar daca eu ghidez lucrurile, intrebarile si nevoie vin de la participanti. O plus valoare este chiar faptul ca pot asista la discutii despre situatiile intalnite de alte persoane, chiar si numai ca auditoriu – este cu totul alt tip de invatare decat poate oferi un curs.

Eu am construit The Privacy Manager Club potrivit unei strategii importante in programele de formare – gradual release model. Cu alte cuvinte, am adus laolalta o componenta in care eu demonstrez, participantul observa – cursul; o componenta in care experimentam impreuna – sesiunile de coaching de grup, comunitatea si workshopurile; si o componenta in care participantul demonstreaza iar eu observ si ofer sprijin – coachingul individual.

Cu alte cuvinte The Privacy Manager Club nu este doar un program de formare in protectia datelor, este un program de formare in cariera de specialist privacy, oricum s-ar numi rolul respectiv. Este potrivit si pentru incepatori, avand in vedere informatiile foarte detaliate din curs, dar si pentru avansati – pentru ei componenta de coaching fiind cea mai importanta.

Programul este menit sa fie un sprijin real si practic, pe baza caruia participantii sa poata aplica imediat ceea ce au invatat – iar nu un simplu instrument pentru a trece un examen de certificare. Invatarea pentru un examen este diferita, pentru ca favorizeaza invatarea anumitor elemente si solutii asa cum sunt evaluate in examen, pe cand Privacy Manager Club abordeaza toate temele din perspectiva lor aplicata in realitate, in viata unei companii. Drept urmare multe teme sunt detaliate aici dar nu si in alte programe – de exemplu cum verifici un potential imputernicit, ce este abordarea bazata pe risc si cum se face managementul riscului in domeniul protectiei datelor, si altele asemenea. 

Sunt tentata sa spun ca totul s-a schimbat cand am inceput sa lucrez in-house. Cateva aspecte au fost extrem de importante, in contextul in care programul de privacy pe care il aveam pe mana era la nivel global intr-o companie B2C cu tehnologii noi. In primul rand, GDPR nu mai era de ajuns. Lumea e mare, iar alte piete inafara de UE erau foarte importante financiar. Am trecut prin implementarea CCPA in Statele Unite, LGPD in Brazilia si PIPL in China si chiar daca am folosit avocati specializati in tarile respective, a fost esential sa nu le las libertatea totala de a pune in aplicare politici si procese interne nearmonizate. Pe de alta parte si de la „centru” procesele existente inercau sa aplice cerinte existente in GDPR in tari in care nu aveau niciun sens. Alegerea unui framework unitar si implementarea particularitatilor nationale a fost esentiala.

Mi-am dat astfel seama ca e o diferenta mare intre a studia obligatiile legale si a studia managementul unui program de conformitate. Mai mult, si managementul unui program de conformitate privacy poate fi mai mult sau mai putin eficient. Drept urmare, am pus toata experienta mea (inclusiv ce am invatat din greseli) in The Privacy Manager Club, si mai ales am pus accentul pe componenta de coaching – pentru ca nimeni nu trebuie sa parcurga singur drumul greu care poate fi o cariera in privacy. Trebuie sa recunoastem ca specializarea asta are dificultatile ei, si poate aduce multa incarcatura mentala mai ales intr-o organizatie mai putin matura in care conducerea trebuie convinsa ca merita investit in conformitate in loc tocmai ei sa aduca „tone from the top”. Din ce am vazut eu, o proportie mare de specialisti privacy au dificultati in indeplinirea rolului lor – iar eu mi-am propus sa le fiu alaturi. Asta inseamna nu doar sfaturi despre cum isi pot structura mai eficient activitatile, ci si sustinere referitoare la cariera in sine.

In The Privacy Manager Club nu se predau legi in sine, ci modul cum diverse abordari pot fi integrate. Cursul urmeaza o structura care se bazeaza pe elementele pe care eu le-am observat ca se aplica peste tot, si fiecare tema este abordata din perspectiva neutra juridic, cu exemple din mai multe legislatii. Accentul este pe operationalizare si pe cum trebuie facut loc reglementarilor diferite. Ideea centrala este ca un program eficient necesita o baza solida, un framework general, iar mai apoi sunt create reguli speciale pentru a da eficacitate regulilor din anumite legi. Cum se face alegerea aici si de ce este un subiect in sine.  

In programul meu abordarea etica este indicatorul de maturitate pentru conformitatea unei organizatii. Organizatiile cu maturitate scazuta pun chestiunile de etica la final - daca mai ramane timp si efort, pe cand organizatiile mature pleaca de la ce este etic si apoi se uita daca e posibil si viabil. Fara a fi un curs de etica in sine, programul meu sustine etica in procesul decizional si in abordarea nivelului global de conformitate.

Cei care isi doresc o cariera in protectia datelor trebuie sa detina cel putin doua tipuri de cunostinte: in primul rand cunoasterea regulilor juridice in jurisdictia lor de baza precum si cunostinte generale despre legile altor jurisdictii, si in al doilea rand cunostinte despre managementul programului de conformitate in protectia datelor. Cele doua sunt foarte diferite si niciuna nu o suplineste pe cealalta.

The Privacy Manager Club acopera integral partea a doua, cunostintele operationale de management al programului de privacy. Cursul este unul exhaustiv, cu module care acopera toate temele generale pe care un specialist le intalneste in practica. Teme specializate (de ex. privacy by design in dezvoltarea de software) sunt acoperite in workshopuri periodice. In plus, componenta de coaching si comunitate aduc laolalta experienta practica a participantilor, schimbul de idei si sprijinul me direct, in asa fel incat participantii sa invete cum sa isi croiasca drumul propriu in managementul unui program privacy dar si in cariera lor in privacy in general. In plus, tot in cadrul comunitatii participantii pot primi sprijin si resurse pentru studiul legislatiilor, obtinerea de certificari si alte aspecte conexe carierei in domeniu.

Recunoscand faptul ca un mentor este totusi un element extern, cred ca aspectul cel mai important de mentionat este ca The Privacy Manager Club este destinat sa creeze absolventi independenti. Drept urmare, programul are ca scop oferirea de instrumente si tehnici pe care participantii sa le incorporeze in propria lor strategie.

Eu cred ca domeniul protectiei datelor personale nu va disparea prea curand, dimpotriva. Cred ca se va intrepatrunde treptat cu alte domenii de protectie, mai ales conformitatea implementarii inteligentei artificiale, dar si reglementarile platformelor online, serviciile digitale si altele. De exemplu, pentru o entitate careia i se aplica Digital Services Act nu se poate face conformitate doar potrivit GDPR cand celalalt act are reguli speciale care se aplica prioritar.

Avand in vedere cat de rapid se succed noutatile (de exemplu, pe 4 octombrie 2024 CJEU a emis nu mai putin de 5 hotarari in domeniul nostru, i-as spune adevaratul Black Friday), cateva chestiuni sunt importante:

• Surse bune de informatie – newslettere, creatori pe LinkedIn, webinarii. Am sa spun ca newsletterul meu, The AI & Privacy Explorer, este o sursa buna pentru ca informatia e condensata intr-o singura pilula saptamanala si acopera foarte multe aspecte nu doar din Europa. Nu este nici pe departe singura sursa.
• Alocarea timpului pentru studiu, in cadrul orelor de serviciu. Este parte a sarcinilor de serviciu, mai ales pentru un DPO dar nu numai, sa se tina la curent cu noutatile.
• Prioritizarea – nu totul este (la fel de) important. Doua chestiuni as sublinia aici: daca aspectul nou are un impact in organizatie (atunci trebuie evaluat si luate masuri, deci proactivitatea de a aduce in prim plan chestiunea va fi de apreciat), si daca aspectul este important sau interesant la nivel personal. O cariera nu e acelasi lucru precum un loc de munca, asa ca nu sustin limitatea la ce este util pentru angajator.

Intentia mea este sa dezvolt Privacy Manager Club in functie de nevoile participantilor si a profesionistilor in domeniu in general. Imi doresc sa devina un instrument important atat pentru acumularea cunostintelor cat si pentru dezvoltarea profesionala. In viitor, planuiesc sa extind continutul cursurilor pentru a aborda si mai multe provocari practice si sa adaug checklisturi si materiale de sprijin create in cadrul workshopurilor.